Aggiungi criteri dell'organizzazione personalizzati

Questa pagina descrive come creare, configurare e gestire vincoli personalizzati su Cloud SQL di Compute Engine. Per una panoramica dei criteri dell'organizzazione personalizzati, vedi Criteri dell'organizzazione personalizzati.

Prima di iniziare

  1. Sign in to your Google Cloud account. If you're new to Google Cloud, create an account to evaluate how our products perform in real-world scenarios. New customers also get $300 in free credits to run, test, and deploy workloads.

  2. In the Google Cloud console, on the project selector page, select or create a Google Cloud project.

    Go to project selector

  3. Make sure that billing is enabled for your Google Cloud project.

  4. Install the Google Cloud CLI.

  5. To initialize the gcloud CLI, run the following command: 

    gcloud init

  6. In the Google Cloud console, on the project selector page, select or create a Google Cloud project.

    Go to project selector

  7. Make sure that billing is enabled for your Google Cloud project.

  8. Install the Google Cloud CLI.

  9. To initialize the gcloud CLI, run the following command: 

    gcloud init
  10. Aggiungere il ruolo Amministratore criteri organizzazione (roles/orgpolicy.policyAdmin) al tuo account utente o di servizio dal IAM e Console di amministrazione.

    Vai alla pagina degli account IAM

  11. Consulta la sezione Restrizioni prima di eseguire questa procedura.

Campi supportati per i vincoli personalizzati

Puoi impostare vincoli personalizzati nei seguenti campi:

Campo Esempio di caso d'uso
SqlDatabaseVersion Forza l'uso di versioni specifiche del database
region [regione] Limita la creazione di istanze a regioni specifiche
availabilityType Applicare l'alta disponibilità
ipConfiguration > pscConfig > allowedConsumerProjects Limita la lista consentita dei progetti consumer in PSC a progetti specifici
ipConfiguration > sslMode Imposta la modalità SSL su ENCRYPTED_ONLY o TRUSTED_CLIENT_CERTIFICATE_REQUIRED. Non puoi scegliere la modalità SSL durante la creazione di un'istanza Cloud SQL nella console Google Cloud. Quindi, se crei questo criterio dell'organizzazione personalizzato, devi creare un'istanza Cloud SQL utilizzando gcloud CLI, API o Terraform.
dataDiskType Impostare l'utilizzo di SSD o HDD
backupConfiguration > location Limita le località di backup automatiche a località specifiche
backupConfiguration > pointInTimeRecoveryEnabled Impostare tutte le istanze per attivare PITR
backupConfiguration > transactionLogRetentionDays Impostare per tutte le istanze l'utilizzo di un periodo di conservazione specifico per la conservazione dei log delle transazioni
backupConfiguration > backupRetentionSettings > retentionUnit Applica i giorni di conservazione su tutti i backup
passwordValidationPolicy > minLength Applica il criterio per le password per una lunghezza minima
passwordValidationPolicy > complexity Applica i criteri relativi alle password per una maggiore complessità
passwordValidationPolicy > reuseInterval Applica il criterio della password per un intervallo di riutilizzo specifico
passwordValidationPolicy > disallowUsernameSubstring Applica i criteri relativi alle password per non consentire l'utilizzo del nome utente come password
Versione Impostare tutte le istanze in modo che utilizzino la versione Enterprise Plus
connectorEnforcement Richiedi che tutte le connessioni utilizzino i connettori Cloud SQL
dataCacheConfig Richiedi a tutte le istanze di utilizzare la cache di dati

Creare e configurare un vincolo personalizzato

Un vincolo personalizzato viene definito in un file YAML utilizzando le risorse, i metodi, le condizioni e le azioni supportate dal servizio su cui stai applicando il criterio dell'organizzazione. Le condizioni per i vincoli personalizzati vengono definite utilizzando Common Expression Language (CEL). Per ulteriori informazioni su come creare nei vincoli personalizzati utilizzando CEL, vedi Common Expression Language.

Console

  1. Nella console Google Cloud, vai alla pagina Criteri dell'organizzazione.

    Vai a Criteri dell'organizzazione

  2. Seleziona il selettore di progetti nella parte superiore della pagina.

  3. Dal selettore dei progetti, seleziona la risorsa per cui vuoi per impostare il criterio dell'organizzazione.

  4. Fai clic su Vincolo personalizzato.

  5. Nella casella Nome visualizzato, inserisci un nome per la limitazione. Questo campo ha una lunghezza massima di 200 caratteri.

  6. Nella casella ID vincolo, inserisci il nome che vuoi assegnare al nuovo vincolo personalizzato. Un vincolo personalizzato deve iniziare con custom. e può includere solo lettere maiuscole, lettere minuscole o numeri, per ad esempio custom.requireCloudSqlPasswordMinLength. La lunghezza massima di questo campo è di 70 caratteri, senza contare il prefisso, ad esempio, organizations/123456789/customConstraints/custom..

  7. Nella casella Descrizione, inserisci una descrizione chiara del vincolo da visualizzare come messaggio di errore in caso di violazione del criterio. Questo campo ha una lunghezza massima di 2000 caratteri.

  8. Nella casella Tipo di risorsa, seleziona il nome della risorsa REST di Google Cloud contenente l'oggetto e il campo che vuoi limitare, ad esempio sqladmin.googleapis.com/Instance. Esistono un massimo di 20 vincoli personalizzati per tipo di risorsa. Se tenti di creare un vincolo personalizzato per un tipo di risorsa che ha già 20 vincoli personalizzati, l'operazione non va a buon fine.

  9. In Metodo di applicazione, scegli se applicare la limitazione su un metodo REST CREATE o su entrambi i metodi CREATE e UPDATE.

    Modifica la condizione e segui questi passaggi:

    1. Nel riquadro Aggiungi condizione, crea una condizione CEL che fa riferimento a una risorsa di servizio supportata, ad esempioresource.settings.passwordValidationPolicy.minLength > 10. Questo campo ha una lunghezza massima di 1000 caratteri. Per maggiori dettagli sull'utilizzo di CEL, consulta Common Expression Language. Per ulteriori informazioni sulle risorse di servizio che puoi utilizzare nei vincoli personalizzati, consulta Servizi supportati dai vincoli personalizzati.

    2. Fai clic su Salva.

  10. In Azione, scegli se consentire o negare il metodo valutato se la condizione precedente è soddisfatta.

    • Nega blocca le operazioni per creare o aggiornare la risorsa se la condizione è true.

    • Consenti consente le operazioni di creazione o aggiornamento della risorsa se la condizione ha valore true. Tutti gli altri casi, tranne quelli elencati esplicitamente nella condizione, sono bloccati.

  11. Fai clic su Crea vincolo.

Dopo aver inserito un valore in ciascun campo, il valore YAML equivalente la configurazione del vincolo personalizzato viene visualizzata a destra.

gcloud

Per creare un file YAML per un vincolo personalizzato, utilizza il formato seguente:

name: organizations/ORGANIZATION_ID/customConstraints/CONSTRAINT_NAME
resourceTypes:
- container.googleapis.com/RESOURCE_NAME
methodTypes:
- CREATE
- UPDATE
condition: "CONDITION"
actionType: ACTION
displayName: DISPLAY_NAME
description: DESCRIPTION

Sostituisci quanto segue:

  • ORGANIZATION_ID: l'ID della tua organizzazione, ad esempio 123456789.

  • CONSTRAINT_NAME: il nome che vuoi assegnare al nuovo vincolo personalizzato. Un vincolo personalizzato deve iniziare con custom. e può includere solo lettere maiuscole, lettere minuscole o numeri, ad esempio custom.enableGkeAutopilot. La lunghezza massima di questo campo è 70 senza contare il prefisso, ad esempio organizations/123456789/customConstraints/custom.

  • RESOURCE_NAME: il nome (non l'URI) dell'URI Risorsa REST dell'API GKE contenente l'oggetto e il campo vuoi limitare. Ad esempio, Cluster.

  • CONDITION: una condizione CEL scritta in base a una rappresentazione di una risorsa di servizio supportata. Questo campo ha una lunghezza massima di 1000 caratteri.

  • ACTION: l'azione da intraprendere se viene soddisfatto il criterio condition. Può essere ALLOW o DENY.

    • Deny blocca le operazioni di creazione o aggiornamento della risorsa se la condizione restituisce true.

    • Consenti consente le operazioni di creazione o aggiornamento della risorsa se la condizione ha valore true. Tutti gli altri casi, tranne quelli elencati esplicitamente nella condizione, sono bloccati.

  • DISPLAY_NAME: un nome per di blocco. Questo campo ha una lunghezza massima di 200 caratteri.

  • DESCRIPTION: una descrizione del vincolo da visualizzare come messaggio di errore in caso di violazione del criterio. Questo campo ha una lunghezza massima di 2000 caratteri.

Dopo aver creato un nuovo vincolo personalizzato utilizzando gcloud CLI, devi configurarlo per rendere disponibile per i criteri dell'organizzazione nella tua organizzazione. Per configurare un vincolo personalizzato, utilizza il comando gcloud org-policies set-custom-constraint: 
gcloud org-policies set-custom-constraint CONSTRAINT_PATH
 Sostituisci CONSTRAINT_PATH con il percorso completo del tuo personalizzato. Ad esempio: /home/user/customconstraint.yaml. Al termine, troverai i vincoli personalizzati come criteri dell'organizzazione disponibili nel tuo elenco dei criteri dell'organizzazione Google Cloud. Per verificare che il vincolo personalizzato esista, utilizza il metodo Comando gcloud org-policies list-custom-constraints: 
gcloud org-policies list-custom-constraints --organization=ORGANIZATION_ID
 Sostituisci ORGANIZATION_ID con l'ID della risorsa dell'organizzazione. Per ulteriori informazioni, consulta Visualizzare i criteri dell'organizzazione.

Applica un criterio dell'organizzazione personalizzato

Una volta configurato, un vincolo personalizzato funziona in modo identico vincoli booleani. Google Cloud controlla prima i vincoli personalizzati per valutare se la richiesta di un utente è consentita. Se uno dei criteri dell'organizzazione personalizzata nega la richiesta, questa viene rifiutata. Poi, Google Cloud verifica la presenza di criteri dell'organizzazione predefiniti applicati a quella risorsa.

Puoi applicare un vincolo booleano creando un criterio dell'organizzazione che vi faccia riferimento. e applicando il criterio dell'organizzazione a una risorsa Google Cloud.

Console

Per applicare un vincolo booleano:

  1. Nella console Google Cloud, vai alla pagina Norme dell'organizzazione.

    Vai a Criteri dell'organizzazione

  2. Seleziona il selettore del progetto nella parte superiore della pagina.
  3. Dal selettore di progetti, scegli il progetto per il quale vuoi impostare criterio dell'organizzazione.
  4. Seleziona il vincolo dall'elenco nella pagina Criteri organizzazione. Dovrebbe essere visualizzata la pagina Dettagli criterio per il vincolo in questione.
  5. Per configurare il criterio dell'organizzazione per questa risorsa, fai clic su Gestisci criterio.
  6. Nella pagina Modifica criterio, seleziona Sostituisci criterio della risorsa padre.
  7. Fai clic su Aggiungi una regola.
  8. In Applicazione, scegli se applicare questo criterio dell'organizzazione deve essere attivato o disattivato.
  9. Se vuoi, per applicare le condizioni del criterio dell'organizzazione a un tag, fai clic su Aggiungi condizione. Tieni presente che se aggiungi una regola condizionale a un'organizzazione devi aggiungere almeno una regola incondizionata. In caso contrario, la norma non potrà essere salvata. Per maggiori dettagli, consulta Impostazione di un criterio dell'organizzazione con tag.
  10. Se si tratta di un vincolo personalizzato, puoi fare clic su Testa modifiche per simulare l'effetto di questo criterio dell'organizzazione. Per ulteriori informazioni, vedi Testa le modifiche ai criteri dell'organizzazione con Policy Simulator.
  11. Per completare e applicare il criterio dell'organizzazione, fai clic su Imposta criterio. Le norme Possono trascorrere fino a 15 minuti prima che le modifiche diventino effettive.

gcloud

Per creare un criterio dell'organizzazione che applichi un vincolo booleano, crea un criterio File YAML che fa riferimento al vincolo: 

      name: projects/PROJECT_ID/policies/CONSTRAINT_NAME
      spec:
        rules:
        - enforce: true

Sostituisci quanto segue:

  • PROJECT_ID: il progetto su cui vuoi applicare in modo forzato i di blocco.
  • CONSTRAINT_NAME: il nome definito per il vincolo personalizzato. Ad esempio, custom.enableGkeAutopilot.

Per applicare il criterio dell'organizzazione contenente la limitazione, esegui il seguente comando: 

    gcloud org-policies set-policy POLICY_PATH

Sostituisci POLICY_PATH con il percorso completo del criterio dell'organizzazione YAML. L'applicazione del criterio potrebbe richiedere fino a 15 minuti.

Aggiornare un vincolo personalizzato

Puoi aggiornare un vincolo personalizzato modificandolo nella nella console Google Cloud o creando un nuovo file YAML e utilizzando set-custom-constraint di nuovo il comando gcloud CLI. Non sono presenti il controllo delle versioni dei vincoli personalizzati, in modo da sovrascrivere i vincoli personalizzati esistenti di blocco. Se il vincolo personalizzato è già applicato, il vincolo personalizzato aggiornato ha effetto immediato.

Console

  1. Nella console Google Cloud, vai alla pagina Criteri dell'organizzazione.

    Vai a Criteri dell'organizzazione

  2. Seleziona il selettore del progetto nella parte superiore della pagina.

  3. Dal selettore di progetti, seleziona la risorsa per cui vuoi aggiornare il criterio dell'organizzazione.

  4. Seleziona il vincolo che vuoi modificare dall'elenco nella Criteri dell'organizzazione. Nella pagina Dettagli norme viene visualizzato un vincolo di rete.

  5. Fai clic su Modifica vincolo.

  6. Apporta modifiche al nome visualizzato, alla descrizione, al metodo di applicazione, alla condizione e all'azione. Non puoi modificare l'ID vincolo o il tipo di risorsa una volta creato il vincolo.

  7. Fai clic su Salva modifiche.

gcloud

Per modificare un vincolo personalizzato esistente utilizzando gcloud CLI, crea un nuovo YAML contenente le modifiche da apportare:

name: organizations/ORGANIZATION_ID/customConstraints/CONSTRAINT_NAME
resourceTypes:
- RESOURCE_NAME
methodTypes:
- METHOD1
- METHOD2
condition: "CONDITION"
actionType: ACTION
displayName: DISPLAY_NAME
description: DESCRIPTION

Sostituisci quanto segue:

  • ORGANIZATION_ID: l'ID della tua organizzazione, ad esempio 123456789.

  • CONSTRAINT_NAME: il nome che vuoi assegnare al nuovo vincolo personalizzato. Un vincolo personalizzato deve iniziare con custom. e può includere solo lettere maiuscole, lettere minuscole o numeri, ad esempio custom.disableGkeAutoUpgrade. La lunghezza massima di questo campo è di 70 caratteri, senza contare il prefisso, ad esempio organizations/123456789/customConstraints/custom..

  • RESOURCE_NAME: il nome completo del Risorsa REST Google Cloud contenente l'oggetto e il campo da limitare. Ad esempio, container.googleapis.com/NodePool. Per ulteriori informazioni sulle risorse di servizio che puoi utilizzare nei vincoli personalizzati, consulta Servizi supportati dai vincoli personalizzati.

  • METHOD1,METHOD2: un elenco di Metodi RESTful per cui applicare il vincolo. Può essere CREATE o CREATE e UPDATE. Non tutti i servizi Google Cloud supportano entrambi i metodi. A vedere i metodi supportati per ogni servizio, trovare il servizio in Servizi supportati.

  • CONDITION: una condizione CEL che si riferisce a una di risorse di servizio supportate, "resource.management.autoUpgrade == false". Questo campo ha un limite massimo di 1000 caratteri. Per maggiori dettagli sull'utilizzo di CEL, consulta Common Expression Language.

  • ACTION: l'azione da eseguire se condition è sono soddisfatte determinate condizioni. Può essere ALLOW o DENY.

  • DISPLAY_NAME: un nome per la limitazione. Questo campo ha una lunghezza massima di 200 caratteri.

  • DESCRIPTION: una descrizione del del vincolo che viene visualizzato come messaggio di errore quando il criterio viene violato. Questo ha una lunghezza massima di 2000 caratteri.

Dopo aver creato un nuovo vincolo personalizzato utilizzando gcloud CLI, devi configurarlo per rendere disponibile per i criteri dell'organizzazione nella tua organizzazione. Per configurare un vincolo personalizzato, utilizza il comando gcloud org-policies set-custom-constraint: 

gcloud org-policies set-custom-constraint CONSTRAINT_PATH
 Sostituisci CONSTRAINT_PATH con il percorso completo del tuo personalizzato. Ad esempio: /home/user/customconstraint.yaml. Al termine, troverai i vincoli personalizzati come criteri dell'organizzazione disponibili nel tuo elenco di criteri dell'organizzazione di Google Cloud. Per verificare che il vincolo personalizzato esista, utilizza il metodo Comando gcloud org-policies list-custom-constraints: 
gcloud org-policies list-custom-constraints --organization=ORGANIZATION_ID
 Sostituisci ORGANIZATION_ID con l'ID della risorsa dell'organizzazione. Per ulteriori informazioni, consulta Visualizzare i criteri dell'organizzazione.

Eliminare un vincolo personalizzato

Puoi eliminare un vincolo personalizzato utilizzando la console Google Cloud o gcloud CLI.

Console

  1. Nella console Google Cloud, vai alla pagina Criteri dell'organizzazione.

    Vai a Criteri dell'organizzazione

  2. Seleziona il selettore del progetto nella parte superiore della pagina.

  3. Dal selettore di progetti, seleziona la risorsa per cui vuoi eliminare il criterio dell'organizzazione.

  4. Seleziona il vincolo che vuoi eliminare dall'elenco nella Criteri dell'organizzazione. Dovrebbe essere visualizzata la pagina Dettagli delle norme relativa al vincolo in questione.

  5. Fai clic su Elimina.

  6. Per confermare di voler eliminare il vincolo, fai clic su Elimina.

gcloud

Per eliminare un vincolo personalizzato, utilizza org-policies delete-custom-constraint Comando gcloud CLI:

gcloud org-policies delete-custom-constraint custom.CONSTRAINT_NAME \
  --organization=ORGANIZATION_ID

Sostituisci quanto segue:

  • ORGANIZATION_ID: l'ID della tua organizzazione, ad esempio 123456789.

  • CONSTRAINT_NAME: il nome della tua personalizzata di blocco. Ad esempio, custom.disableGkeAutoUpgrade.

L'output è simile al seguente:

Deleted custom constraint [organizations/123456789/customConstraints/custom.disableGkeAutoUpgrade]

Se elimini un vincolo personalizzato, i criteri creati utilizzando quel vincolo continuano a esistere, ma vengono ignorati. Non puoi crearne un'altra vincolo personalizzato con lo stesso nome di un vincolo personalizzato eliminato.

Esempio: utilizza un vincolo personalizzato per imporre l'uso di SSD anziché HDD

  1. Crea il file dataDiskType.yaml come segue:

    name: organizations/651333429324/customConstraints/custom.dataDiskType
resourceTypes:
- sqladmin.googleapis.com/Instance
methodTypes:
- CREATE
- UPDATE
condition: resource.settings.dataDiskType == "PD_SSD"
actionType: ALLOW
displayName: dataDiskType must be PD_SDD
description: dataDiskType must be PD_SSD

    In questo modo, tutti i metodi CREATE e UPDATE di un'istanza soddisfano il vincolo che dataDiskType sia SSD. Di conseguenza, tutte le istanze che coinvolgono HDD vengono rifiutate.

  2. Configura il vincolo personalizzato a livello di organizzazione:

    gcloud org-policies set-custom-constraint dataDiskType.yaml

  3. Crea "enforceDataDiskType.yaml" come segue:

    name: projects/custom-constraints-cloudsql3/policies/custom.dataDiskType
spec:
rules:
- enforce: true

  4. Applica il vincolo personalizzato a livello di progetto:

    gcloud org-policies set-policy enforceDataDiskType.yaml

Passaggi successivi