En esta página, se describe cómo agregar políticas de la organización en instancias de Cloud SQL para establecer restricciones en Cloud SQL a nivel de proyecto, carpeta u organización. Para obtener una descripción general, consulta Políticas de la organización de Cloud SQL.
Antes de comenzar
- Accede a tu cuenta de Google Cloud. Si eres nuevo en Google Cloud, crea una cuenta para evaluar el rendimiento de nuestros productos en situaciones reales. Los clientes nuevos también obtienen $300 en créditos gratuitos para ejecutar, probar y, además, implementar cargas de trabajo.
-
In the Google Cloud console, on the project selector page, select or create a Google Cloud project.
-
Asegúrate de que la facturación esté habilitada para tu proyecto de Google Cloud.
- Install the Google Cloud CLI.
-
To initialize the gcloud CLI, run the following command:
gcloud init
-
In the Google Cloud console, on the project selector page, select or create a Google Cloud project.
-
Asegúrate de que la facturación esté habilitada para tu proyecto de Google Cloud.
- Install the Google Cloud CLI.
-
To initialize the gcloud CLI, run the following command:
gcloud init
- Agrega el rol de administrador de políticas de la organización (
roles/orgpolicy.policyAdmin
) a tu cuenta de usuario o servicio desde la página IAM y administración. - Consulta Restricciones antes de realizar este procedimiento.
Agrega la política de la organización de conexión
Para obtener una descripción general, consulta Políticas de la organización de conexión.
Para agregar una política de la organización de conexión, haz lo siguiente:
Ir a la página Políticas de la organización.
Haz clic en el menú desplegable de proyectos en la pestaña superior y, luego, selecciona el proyecto, la carpeta o la organización que requiere las políticas de la organización. En la página Políticas de la organización, se muestra una lista de las restricciones de la política de la organización que están disponibles.
Filtra para la restricción
name
odisplay_name
.Para inhabilitar el acceso desde o a Internet:
name: "constraints/sql.restrictPublicIp" display_name: "Restrict Public IP access on Cloud SQL instances"
Para inhabilitar el acceso desde Internet cuando falta la autenticación de IAM (esto no afecta el acceso mediante IP privada), haz lo siguiente:
name: "constraints/sql.restrictAuthorizedNetworks" display_name: "Restrict Authorized Networks on Cloud SQL instances"
Selecciona el Nombre de la política de la lista.
Haz clic en Edit.
Haga clic en Personalizar.
Haga clic en Agregar regla.
En Aplicación forzosa, haz clic en Activado.
Haz clic en Guardar.
Agrega la política de la organización de CMEK
Para obtener una descripción general, consulta Políticas de la organización relativas a claves de encriptación administradas por el cliente.
Para agregar una política de la organización de CMEK, haz lo siguiente:
Ir a la página Políticas de la organización.
Haz clic en el menú desplegable de proyectos en la pestaña superior y, luego, selecciona el proyecto, la carpeta o la organización que requiere las políticas de la organización. En la página Políticas de la organización, se muestra una lista de las restricciones de la política de la organización que están disponibles.
Filtra para la restricción
name
odisplay_name
.Para poner nombres de servicio en una lista DENY a fin de asegurarte de que se usan CMEK en los recursos de ese servicio, haz lo siguiente:
name: "constraints/gcp.restrictNonCmekServices" display_name: "Restrict which services may create resources without CMEK"
Debes agregar
sqladmin.googleapis.com
a la lista de servicios restringidos con Rechazar.Para colocar los ID de proyectos en una lista ALLOW a fin de garantizar que solo las claves de una instancia de Cloud KMS dentro de ese proyecto se usen para CMEK.
name: "constraints/gcp.restrictCmekCryptoKeyProjects" display_name: "Restrict which projects may supply KMS CryptoKeys for CMEK"
Selecciona el Nombre de la política de la lista.
Haz clic en Edit.
Haga clic en Personalizar.
Haga clic en Agregar regla.
En Valores de la política, haz clic en Personalizados.
Para
constraints/gcp.restrictNonCmekServices
: a. En Tipos de política, selecciona Rechazar. b. En Valores personalizados, ingresasqladmin.googleapis.com
.Para
constraints/gcp.restrictCmekCryptoKeyProjects
: a. En Tipos de política, selecciona Permitir. b. En Valores personalizados, ingresa el recurso con el siguiente formato:under:organizations/ORGANIZATION_ID
,under:folders/FOLDER_ID
oprojects/PROJECT_ID
.Haga clic en Listo.
Haz clic en Guardar.
¿Qué sigue?
- Obtén más información sobre las Políticas de la organización.
- Obtén información sobre cómo funciona la IP privada con Cloud SQL.
- Obtén más información sobre cómo configurar la IP privada para Cloud SQL.
- Obtén más información sobre el servicio de políticas de la organización.
- Obtén más información sobre las restricciones de las políticas de la organización.