Añadir políticas de organización predefinidas

En esta página se describe cómo añadir políticas de organización a instancias de Cloud SQL para aplicar restricciones a Cloud SQL a nivel de proyecto, carpeta u organización. Para obtener un resumen, consulta las políticas de organización de Cloud SQL.

Antes de empezar

  1. Sign in to your Google Cloud account. If you're new to Google Cloud, create an account to evaluate how our products perform in real-world scenarios. New customers also get $300 in free credits to run, test, and deploy workloads.

  2. In the Google Cloud console, on the project selector page, select or create a Google Cloud project.

    Roles required to select or create a project

    • Select a project: Selecting a project doesn't require a specific IAM role—you can select any project that you've been granted a role on.
    • Create a project: To create a project, you need the Project Creator (roles/resourcemanager.projectCreator), which contains the resourcemanager.projects.create permission. Learn how to grant roles.

    Go to project selector

  3. Verify that billing is enabled for your Google Cloud project.

  4. Install the gcloud CLI.

  5. Si utilizas un proveedor de identidades (IdP) externo, primero debes iniciar sesión en la CLI de gcloud con tu identidad federada.

  6. Para inicializar gcloud CLI, ejecuta el siguiente comando: 

    gcloud init

  7. In the Google Cloud console, on the project selector page, select or create a Google Cloud project.

    Roles required to select or create a project

    • Select a project: Selecting a project doesn't require a specific IAM role—you can select any project that you've been granted a role on.
    • Create a project: To create a project, you need the Project Creator (roles/resourcemanager.projectCreator), which contains the resourcemanager.projects.create permission. Learn how to grant roles.

    Go to project selector

  8. Verify that billing is enabled for your Google Cloud project.

  9. Install the gcloud CLI.

  10. Si utilizas un proveedor de identidades (IdP) externo, primero debes iniciar sesión en la CLI de gcloud con tu identidad federada.

  11. Para inicializar gcloud CLI, ejecuta el siguiente comando: 

    gcloud init
  12. Añade el rol Administrador de políticas de la organización (roles/orgpolicy.policyAdmin) a tu usuario o cuenta de servicio desde la página IAM y administración.

    Ir a la página de cuentas de IAM

  13. Consulta las restricciones antes de llevar a cabo este procedimiento.

    14. Añadir la política de organización de las conexiones

    Para obtener una descripción general, consulta Políticas de organización de conexiones.

    Para añadir una política de organización de las conexiones, sigue estos pasos:

    1. Ve a la página Políticas de la organización.

      Ir a la página Políticas de la organización

    2. En la pestaña superior, haz clic en el menú desplegable de proyectos y, a continuación, selecciona el proyecto, la carpeta o la organización que requiera la política de la organización. En la página Políticas de la organización se muestra una lista de las restricciones de las políticas de la organización disponibles.

    3. Filtra por la restricción name o display_name.

      • Para inhabilitar el acceso a Internet o desde Internet, sigue estos pasos:

        name: "constraints/sql.restrictPublicIp"
display_name: "Restrict Public IP access on Cloud SQL instances"

      • Para inhabilitar el acceso desde Internet cuando falte la autenticación de gestión de identidades y accesos (esto no afecta al acceso mediante IP privada), sigue estos pasos:

        name: "constraints/sql.restrictAuthorizedNetworks"
display_name: "Restrict Authorized Networks on Cloud SQL instances"

    4. Selecciona el Nombre de la política en la lista.

    5. Haz clic en Editar.

    6. Haz clic en Personalizar.

    7. Haz clic en Añadir regla.

    8. En Aplicación obligatoria, haz clic en Activar.

    9. Haz clic en Guardar.

    Añadir la política de organización de CMEK

    Para obtener una descripción general, consulta el artículo Políticas de organización de claves de cifrado gestionadas por el cliente.

    Para añadir una política de organización de CMEK, sigue estos pasos:

    1. Ve a la página Políticas de la organización.

      Ir a la página Políticas de la organización

    2. En la pestaña superior, haz clic en el menú desplegable de proyectos y, a continuación, selecciona el proyecto, la carpeta o la organización que requiera la política de la organización. En la página Políticas de la organización se muestra una lista de las restricciones de las políticas de la organización disponibles.

    3. Filtra por la restricción name o display_name.

      • Para incluir nombres de servicios en una lista de denegación y asegurarte de que se usan CMEK en los recursos de ese servicio, sigue estos pasos:

        name: "constraints/gcp.restrictNonCmekServices"
display_name: "Restrict which services may create resources without CMEK"

        Debes añadir sqladmin.googleapis.com a la lista de servicios restringidos con Deny.

      • Para incluir IDs de proyectos en una lista de permitidos y asegurarte de que solo se usen las claves de una instancia de Cloud KMS de ese proyecto para las CMEK.

        name: "constraints/gcp.restrictCmekCryptoKeyProjects"
display_name: "Restrict which projects may supply KMS CryptoKeys for CMEK"

    4. Selecciona el Nombre de la política en la lista.

    5. Haz clic en Editar.

    6. Haz clic en Personalizar.

    7. Haz clic en Añadir regla.

    8. En Valores de la política, haga clic en Personalizado.

    9. Para constraints/gcp.restrictNonCmekServices: a. En Tipos de políticas, selecciona Denegar. b. En Valores personalizados, introduce sqladmin.googleapis.com.

      Para constraints/gcp.restrictCmekCryptoKeyProjects: a. En Tipos de políticas, selecciona Permitir. b. En Valores personalizados, introduce el recurso con el siguiente formato: under:organizations/ORGANIZATION_ID, under:folders/FOLDER_ID o projects/PROJECT_ID.

    10. Haz clic en Listo.

    11. Haz clic en Guardar.

    Siguientes pasos