Cette page explique comment utiliser une règle d'administration avec votre projet Cloud SQL. Pour commencer à créer des règles d'administration, consultez la page Ajouter des règles d'administration.
Présentation
Les règles d'administration permettent aux administrateurs de définir des restrictions sur la manière dont les utilisateurs peuvent configurer des instances au sein de cette organisation. Les règles d'administration définissent des règles, appelées contraintes, que l'administrateur place sur un projet, un dossier ou une organisation. Les contraintes appliquent la règle à toutes les instances. Par exemple, si vous essayez d'ajouter une instance à une entité dotée d'une règle d'administration, la contrainte exécute une vérification pour s'assurer que la configuration de l'instance respecte les exigences de la contrainte. Si la vérification échoue, Cloud SQL ne crée pas l'instance.
Lorsque vous ajoutez des projets à une organisation ou un dossier qui utilise une règle d'administration, les projets héritent des contraintes de cette règle.
Pour en savoir plus sur les règles d'administration, consultez les sections concernant le service de règles d'administration, les contraintes et l'évaluation hiérarchique.
Les types de règles d'administration spécifiques à Cloud SQL sont les suivants :
Règles d'administration prédéfinies
Vous pouvez utiliser les contraintes prédéfinies pour contrôler les paramètres des adresses IP publiques et les paramètres de clé de chiffrement gérée par le client (CMEK) des instances Cloud SQL. Pour un contrôle plus précis et personnalisable des autres paramètres compatibles, vous pouvez utiliser des contraintes personnalisées. Pour en savoir plus, consultez la page Règles d'administration personnalisées.
Règles d'administration des connexions
Les règles d'administration des connexions permettent un contrôle centralisé des paramètres des adresses IP publiques de Cloud SQL, afin de réduire la surface d'attaque de sécurité des instances Cloud SQL sur Internet. Un administrateur des règles d'administration peut utiliser une règle de connexion pour restreindre les configurations des adresses IP publiques de Cloud SQL au niveau du projet, du dossier ou de l'organisation.
Contraintes liées aux règles d'administration des connexions
Les règles d'administration des connexions s'appuient sur deux types de contraintes pour réguler l'accès aux instances Cloud SQL.
| Contrainte | Description | Par défaut |
|---|---|---|
| Limiter l'accès des adresses IP publiques sur les instances Cloud SQL | Cette contrainte booléenne limite la configuration d'adresses IP publiques, sur les instances Cloud SQL pour lesquelles cette contrainte est définie sur True. Cette contrainte n'est pas rétroactive. Les instances Cloud SQL comportant déjà des adresses IP publiques fonctionnent toujours, même lorsque la contrainte est appliquée.
Par défaut, l'accès aux adresses IP publiques aux instances Cloud SQL est autorisé. constraints/sql.restrictPublicIp
|
AUTORISER |
| Limiter le nombre de réseaux autorisés sur les instances Cloud SQL | Lorsqu'elle est définie sur True, cette contrainte booléenne limite l'ajout de réseaux autorisés pour l'accès à la base de données sans proxy sur les instances Cloud SQL. Cette contrainte n'est pas rétroactive.
Les instances Cloud SQL comportant déjà des réseaux autorisés fonctionnent toujours, même lorsque la contrainte est appliquée. Par défaut, vous pouvez ajouter des réseaux autorisés aux instances Cloud SQL. constraints/sql.restrictAuthorizedNetworks |
AUTORISER |
Restrictions liées aux règles d'administration des connexions
Lorsque vous définissez les règles d'administration pour chaque projet, vous devez déterminer si l'une des conditions suivantes s'applique à votre projet :
- Conflits d'adresses IP publiques d'instances dupliquées avec accès en lecture
- Incompatibilité avec gcloud CLI sql connect
- Accès aux services hébergés par Google Cloud
- Adresses IP privées non RFC 1918
Conflits d'adresses IP publiques d'instances dupliquées avec accès en lecture
Les instances dupliquées avec accès en lecture de Cloud SQL se connectent à l'instance principale via la connexion sans proxy à la base de données. Utilisez le paramètre Réseaux autorisés de l'instance principale pour configurer explicitement ou implicitement les adresses IP publiques des instances dupliquées avec accès en lecture.
Si l'instance principale et l'instance dupliquée se trouvent dans la même région et activent une adresse IP privée, il n'y a aucun conflit avec les contraintes des règles d'administration des connexions.
Incompatibilité avec gcloud sql connect
La commande gcloud sql connect utilise une adresse IP publique pour se connecter directement aux instances Cloud SQL. Par conséquent, elle n'est pas compatible avec la contrainte sql.restrictPublicIp. Il s'agit généralement d'un problème pour les instances qui utilisent une adresse IP privée.
En outre, la commande gcloud sql connect n'utilise pas le proxy, ce qui la rend incompatible avec la contrainte sql.restrictAuthorizedNetworks.
Utilisez plutôt la version bêta de la commande :
gcloud beta auth login
gcloud beta sql connect [INSTANCE_ID]
Cette version utilise le proxy d'authentification Cloud SQL. Pour plus d'informations, consultez la documentation de référence sur gcloud beta sql connect.
La première fois que vous exécutez cette commande, il vous est demandé d'installer le composant gcloud CLI du proxy d'authentification Cloud SQL. Pour cela, vous devez disposer d'une autorisation en écriture sur le répertoire d'installation du SDK gcloud CLI sur votre machine cliente.
Adresses IP privées non RFC 1918
Les connexions à une instance Cloud SQL à l'aide d'une adresse IP privée sont automatiquement autorisées pour les plages d'adresses RFC 1918. Cela permet à tous les clients privés d'accéder à la base de données sans passer par le proxy. Vous devez configurer des plages d'adresses non-RFC 1918 en tant que réseaux autorisés.
Pour utiliser des plages d'adresses IP privées non-RFC 1918 qui ne sont pas configurées dans les réseaux autorisés, vous pouvez effectuer l'une des actions suivantes, ou les deux :
- N'appliquez pas
sql.restrictAuthorizedNetworks. Si les réseaux autorisés appliquent égalementsql.restrictPublicIp, vous ne pourrez pas les configurer dans la console. Utilisez plutôt l'API Cloud SQL ou gcloud CLI. - Utiliser des connexions avec proxy pour les instances IP privées.
Règles d'administration des clés de chiffrement gérées par le client (CMEK)
Cloud SQL accepte deux contraintes de règle d'administration qui contribuent à assurer la protection CMEK dans l'ensemble d'une organisation : constraints/gcp.restrictNonCmekServices et constraints/gcp.restrictCmekCryptoKeyProjects.
La contrainte constraints/gcp.restrictNonCmekServices nécessite une protection CMEK pour sqladmin.googleapis.com. Lorsque vous ajoutez cette contrainte et que vous ajoutez sqladmin.googleapis.com à la liste des services de la règle Deny, Cloud SQL refuse de créer des instances, sauf si elles sont activées avec CMEK.
La contrainte constraints/gcp.restrictCmekCryptoKeyProjects limite les CryptoKeys Cloud KMS à utiliser pour la protection CMEK dans les instances Cloud SQL pour SQL Server. Avec cette contrainte, lorsque Cloud SQL crée une instance avec CMEK, celle-ci doit provenir d'un projet, d'un dossier ou d'une organisation autorisée.
Ces contraintes ne sont appliquées qu'aux instances Cloud SQL pour SQL Server nouvellement créées.
Pour en savoir plus, consultez la page Règles d'administration CMEK. Pour en savoir plus sur les contraintes des règles d'administration CMEK, consultez la page Contraintes liées aux règles d'administration.
Règles d'administration personnalisées
Pour un contrôle précis et personnalisable des paramètres, vous pouvez créer des contraintes personnalisées et les utiliser dans une règle d'administration personnalisée. Vous pouvez utiliser des règles d'administration personnalisées pour améliorer votre sécurité, votre conformité et votre gouvernance.
Pour savoir comment créer des règles d'administration personnalisées, consultez la page Ajouter des règles d'administration personnalisées. Vous pouvez également afficher la liste des champs compatibles avec les contraintes personnalisées.
Règles d'application des règles d'administration
Cloud SQL applique la règle d'administration lors des opérations suivantes :
- Création d'une instance
- Création d'une instance dupliquée
- Redémarrage de l'instance
- Migration d'instances
- Clonage d'une instance
Comme pour toutes les contraintes des règles d'administration, les modifications apportées aux règles ne s'appliquent pas rétroactivement aux instances existantes.
- Une nouvelle règle n'a aucun effet sur les instances existantes.
- Une configuration d'instance existante reste valide, sauf si un utilisateur bascule la configuration de l'instance d'un état de conformité vers un état de non-conformité via la console, gcloud CLI ou un appel de procédure à distance (RPC).
- Une mise à jour de maintenance planifiée n'entraîne pas l'application des règles, car la maintenance ne modifie pas la configuration des instances.
Étape suivante
- Configurez des règles d'administration.
- Découvrez comment les adresses IP privées fonctionnent avec Cloud SQL.
- Découvrez comment configurer une adresse IP privée pour Cloud SQL.
- Obtenez plus d'informations sur le service de règles d'administration.
- Apprenez-en plus sur les contraintes liées aux règles d'administration.