Questa pagina descrive come creare, configurare e gestire vincoli personalizzati su Cloud SQL di Compute Engine. Per una panoramica dei criteri dell'organizzazione personalizzati, consulta Criteri dell'organizzazione personalizzati.
Prima di iniziare
- Sign in to your Google Cloud account. If you're new to Google Cloud, create an account to evaluate how our products perform in real-world scenarios. New customers also get $300 in free credits to run, test, and deploy workloads.
-
In the Google Cloud console, on the project selector page, select or create a Google Cloud project.
-
Make sure that billing is enabled for your Google Cloud project.
- Install the Google Cloud CLI.
-
To initialize the gcloud CLI, run the following command:
gcloud init
-
In the Google Cloud console, on the project selector page, select or create a Google Cloud project.
-
Make sure that billing is enabled for your Google Cloud project.
- Install the Google Cloud CLI.
-
To initialize the gcloud CLI, run the following command:
gcloud init
- Aggiungere il ruolo Amministratore criteri organizzazione
(
roles/orgpolicy.policyAdmin
) al tuo account utente o di servizio dal IAM e Console di amministrazione. - Vedi le limitazioni prima di eseguire questa procedura.
Campi supportati per i vincoli personalizzati
Puoi impostare vincoli personalizzati sui seguenti campi:
Campo | Esempio di caso d'uso |
SqlDatabaseVersion | Forza l'uso di versioni specifiche del database |
region [regione] | Limita la creazione di istanze a regioni specifiche |
availabilityType | Applicare l'alta disponibilità |
ipConfiguration > pscConfig > allowedConsumerProjects | Limita la lista consentita dei progetti consumer in PSC a progetti specifici |
ipConfiguration > sslMode | Imposta la modalità SSL su ENCRYPTED_ONLY o TRUSTED_CLIENT_CERTIFICATE_REQUIRED . Non puoi scegliere la modalità SSL durante la creazione di un'istanza Cloud SQL nella console Google Cloud. Quindi, se crei questo criterio dell'organizzazione personalizzato, devi creare un'istanza Cloud SQL utilizzando gcloud CLI, API o Terraform.
|
dataDiskType | Impostare l'utilizzo di SSD o HDD |
backupConfiguration > località | Limita le località di backup automatiche a località specifiche |
backupConfiguration > pointInTimeRecoveryEnabled | Impostare tutte le istanze per attivare PITR |
backupConfiguration > transactionLogRetentionDays | Impostare per tutte le istanze l'utilizzo di un periodo di conservazione specifico per la conservazione dei log delle transazioni |
backupConfiguration > backupRetentionSettings > retentionUnit | Applica i giorni di conservazione su tutti i backup |
passwordValidationPolicy > minLength | Applica il criterio per le password per una lunghezza minima |
passwordValidationPolicy > complexity | Applica i criteri relativi alle password per una maggiore complessità |
passwordValidationPolicy > reuseInterval | Applica il criterio della password per un intervallo di riutilizzo specifico |
passwordValidationPolicy > disallowUsernameSubstring | Applica i criteri relativi alle password per non consentire l'utilizzo del nome utente come password |
Versione | Forza l'uso della versione Enterprise Plus per tutte le istanze |
connectorEnforcement | Richiedi che tutte le connessioni utilizzino i connettori Cloud SQL |
dataCacheConfig | Richiedi a tutte le istanze di utilizzare la cache di dati |
Crea e configura un vincolo personalizzato
Un vincolo personalizzato viene definito in un file YAML utilizzando le risorse, i metodi, le condizioni e le azioni supportate dal servizio su cui stai applicando il criterio dell'organizzazione. Le condizioni per i vincoli personalizzati definiti utilizzando CEL (Common Expression Language). Per saperne di più su come creare condizioni nei vincoli personalizzati utilizzando CEL, consulta Common Expression Language.
Console
Nella console Google Cloud, vai alla pagina Norme dell'organizzazione.
Seleziona il selettore del progetto nella parte superiore della pagina.
Dal selettore di progetti, seleziona la risorsa per cui vuoi impostare il criterio dell'organizzazione.
Fai clic su
Vincolo personalizzato.Nella casella Nome visualizzato, inserisci un nome per di blocco. Questo campo ha una lunghezza massima di 200 caratteri.
Nella casella ID vincolo, inserisci il nome che vuoi assegnare al nuovo vincolo personalizzato. Un vincolo personalizzato deve iniziare con
custom.
e può includere solo lettere maiuscole, lettere minuscole o numeri, ad esempiocustom.requireCloudSqlPasswordMinLength
. La lunghezza massima di questo campo è di 70 caratteri, senza contare il prefisso, ad esempio,organizations/123456789/customConstraints/custom.
.Nella casella Descrizione, inserisci una descrizione chiara del vincolo da visualizzare come messaggio di errore in caso di violazione del criterio. Questo campo ha una lunghezza massima di 2000 caratteri.
Nella casella Tipo di risorsa, seleziona il nome della risorsa REST di Google Cloud contenente l'oggetto e il campo che vuoi limitare, ad esempio
sqladmin.googleapis.com/Instance
. Esistono un massimo di 20 vincoli personalizzati per tipo di risorsa. Se provi a creare una configurazione per un tipo di risorsa che ha già 20 vincoli personalizzati, l'operazione non riesce.In Metodo di applicazione, scegli se applicare la limitazione su un metodo REST
CREATE
o su entrambi i metodiCREATE
eUPDATE
.Modifica la condizione e segui questi passaggi:
Nel riquadro Aggiungi condizione, crea una condizione CEL che faccia riferimento a una di risorse di servizio supportate,
resource.settings.passwordValidationPolicy.minLength > 10
. Questo campo ha una lunghezza massima di 1000 caratteri. Per informazioni dettagliate sull'utilizzo di CEL, consulta Common Expression Language. Per maggiori informazioni informazioni sulle risorse di servizio che puoi utilizzare nel tuo per i vincoli, consulta Servizi supportati da vincoli personalizzati.Fai clic su Salva.
In Azione, seleziona se consentire o negare il metodo valutato se viene soddisfatta la condizione precedente.
Nega blocca le operazioni per creare o aggiornare la risorsa se la condizione è true.
Consenti consente alle operazioni di creare o aggiornare risorsa se la condizione restituisce true. Tutti gli altri casi, tranne quelli elencati esplicitamente nella condizione, sono bloccati.
Fai clic su Crea vincolo.
Dopo aver inserito un valore in ciascun campo, il valore YAML equivalente la configurazione del vincolo personalizzato viene visualizzata a destra.
gcloud
Per creare un file YAML per un vincolo personalizzato, utilizza il formato seguente:
name: organizations/ORGANIZATION_ID/customConstraints/CONSTRAINT_NAME
resourceTypes:
- container.googleapis.com/RESOURCE_NAME
methodTypes:
- CREATE
- UPDATE
condition: "CONDITION"
actionType: ACTION
displayName: DISPLAY_NAME
description: DESCRIPTION
Sostituisci quanto segue:
ORGANIZATION_ID
: l'ID della tua organizzazione, ad esempio123456789
.CONSTRAINT_NAME
: il nome che vuoi per il tuo nuovo un vincolo personalizzato. Un vincolo personalizzato deve iniziare concustom.
e può includere solo lettere maiuscole, lettere minuscole o numeri, per ad esempio custom.enableGkeAutopilot. La lunghezza massima di questo campo è 70 senza contare il prefisso, ad esempioorganizations/123456789/customConstraints/custom
.RESOURCE_NAME
: il nome (non l'URI) della risorsa REST dell'API GKE contenente l'oggetto e il campo che vuoi limitare. Ad esempio,Cluster
.CONDITION
: una condizione CEL scritta in base a una rappresentazione di una risorsa di servizio supportata. Questo campo ha una lunghezza massima di 1000 caratteri.ACTION
: l'azione da intraprendere se viene soddisfatto il criteriocondition
. Può essereALLOW
oDENY
.Nega blocca le operazioni per creare o aggiornare la risorsa se la condizione è true.
Consenti consente le operazioni di creazione o aggiornamento della risorsa se la condizione ha valore true. Ogni evento in altri casi, ad eccezione di quelli esplicitamente elencati nella condizione, è bloccato.
DISPLAY_NAME
: un nome per di blocco. Questo campo ha una lunghezza massima di 200 caratteri.DESCRIPTION
: una descrizione del del vincolo che viene visualizzato come messaggio di errore quando il criterio viene violato. Questo campo ha una lunghezza massima di 2000 caratteri.
gcloud org-policies set-custom-constraint
:
gcloud org-policies set-custom-constraint CONSTRAINT_PATH
CONSTRAINT_PATH
con il percorso completo del
file delle limitazioni personalizzate. Ad esempio: /home/user/customconstraint.yaml
.
Al termine, i vincoli personalizzati sono disponibili come criteri dell'organizzazione
nell'elenco dei criteri dell'organizzazione di Google Cloud.
Per verificare che il vincolo personalizzato esista, utilizza il metodo
Comando gcloud org-policies list-custom-constraints
:
gcloud org-policies list-custom-constraints --organization=ORGANIZATION_ID
ORGANIZATION_ID
con l'ID della risorsa della tua organizzazione.
Per ulteriori informazioni, vedi
Visualizzazione dei criteri dell'organizzazione.Applicare un criterio dell'organizzazione personalizzato
Una volta configurato, un vincolo personalizzato funziona in modo identico ai vincoli booleani predefinite. Google Cloud controlla prima i vincoli personalizzati per valutare se la richiesta di un utente è consentita. Se qualcuno dell'organizzazione personalizzata se la richiesta viene rifiutata, la richiesta viene rifiutata. Poi, Google Cloud verifica la presenza di criteri dell'organizzazione predefiniti applicati a quella risorsa.
Puoi applicare un vincolo booleano creando un criterio dell'organizzazione che vi faccia riferimento. e applicare il criterio dell'organizzazione a una risorsa Google Cloud.Console
- Nella console Google Cloud, vai alla pagina Criteri dell'organizzazione.
- Dal selettore di progetti, scegli il progetto per il quale vuoi impostare criterio dell'organizzazione.
- Nell'elenco della pagina Criteri dell'organizzazione, seleziona il vincolo da visualizzare. alla pagina Dettagli criterio per il vincolo.
- Per configurare il criterio dell'organizzazione per questa risorsa, fai clic su Gestisci criterio.
- Nella pagina Modifica criterio, seleziona Ignora criterio della risorsa padre.
- Fai clic su Aggiungi una regola.
- Nella sezione Applicazione, seleziona se l'applicazione di questo criterio dell'organizzazione è attivata o disattivata.
- (Facoltativo) Per rendere il criterio dell'organizzazione condizionale su un tag, fai clic su Aggiungi condizione. Tieni presente che se aggiungi una regola condizionale a un'organizzazione devi aggiungere almeno una regola incondizionata. In caso contrario, la norma non potrà essere salvata. Per ulteriori informazioni, consulta Impostare un criterio dell'organizzazione con tag.
- Se si tratta di un vincolo personalizzato, puoi fare clic su Testa modifiche per simulare l'effetto di questo criterio dell'organizzazione. Per ulteriori informazioni, consulta Testare le modifiche ai criteri dell'organizzazione con Policy Simulator.
- Per completare e applicare il criterio dell'organizzazione, fai clic su Imposta criterio. L'applicazione del criterio può richiedere fino a 15 minuti.
gcloud
Per creare un criterio dell'organizzazione che applichi un vincolo booleano, crea un file YAML del criterio che faccia riferimento al vincolo:
name: projects/PROJECT_ID/policies/CONSTRAINT_NAME spec: rules: - enforce: true
Sostituisci quanto segue:
-
PROJECT_ID
: il progetto su cui vuoi applicare il vincolo. -
CONSTRAINT_NAME
: il nome definito per il vincolo personalizzato. Ad esempio,custom.enableGkeAutopilot
.
Per applicare il criterio dell'organizzazione contenente la limitazione, esegui il seguente comando:
gcloud org-policies set-policy POLICY_PATH
Sostituisci POLICY_PATH
con il percorso completo del criterio dell'organizzazione
YAML. L'applicazione del criterio può richiedere fino a 15 minuti.
Aggiornare un vincolo personalizzato
Puoi aggiornare un vincolo personalizzato modificandolo nella
nella console Google Cloud o creando un nuovo file YAML e utilizzando
set-custom-constraint
di nuovo il comando gcloud CLI. Non è prevista la gestione delle versioni dei vincoli personalizzati, pertanto il vincolo personalizzato esistente viene sovrascritto. Se il vincolo personalizzato è già applicato, il valore
il vincolo viene applicato immediatamente.
Console
Nella console Google Cloud, vai alla pagina Criteri dell'organizzazione.
Seleziona il selettore di progetti nella parte superiore della pagina.
Dal selettore dei progetti, seleziona la risorsa per cui vuoi per aggiornare il criterio dell'organizzazione.
Seleziona il vincolo da modificare dall'elenco nella pagina Criteri organizzazione. Nella pagina Dettagli norme viene visualizzato un vincolo di rete.
Fai clic su
Modifica vincolo.Apporta modifiche al nome visualizzato, alla descrizione, al metodo di applicazione, alla condizione e all'azione. Non puoi modificare l'ID vincolo o la risorsa una volta creato il vincolo.
Fai clic su Salva modifiche.
gcloud
Per modificare un vincolo personalizzato esistente utilizzando l'interfaccia a riga di comando gcloud, crea un nuovo file YAML contenente le modifiche che vuoi apportare:
name: organizations/ORGANIZATION_ID/customConstraints/CONSTRAINT_NAME
resourceTypes:
- RESOURCE_NAME
methodTypes:
- METHOD1
- METHOD2
condition: "CONDITION"
actionType: ACTION
displayName: DISPLAY_NAME
description: DESCRIPTION
Sostituisci quanto segue:
ORGANIZATION_ID
: l'ID della tua organizzazione, ad esempio123456789
.CONSTRAINT_NAME
: il nome che vuoi assegnare al nuovo vincolo personalizzato. Un vincolo personalizzato deve iniziare concustom.
e può includere solo lettere maiuscole, lettere minuscole o numeri, per ad esempiocustom.disableGkeAutoUpgrade
. La lunghezza massima di questo campo è di 70 caratteri, senza contare il prefisso, ad esempioorganizations/123456789/customConstraints/custom.
.RESOURCE_NAME
: il nome completamente qualificato della risorsa REST di Google Cloud contenente l'oggetto e il campo che vuoi limitare. Ad esempio,container.googleapis.com/NodePool
. Per maggiori informazioni informazioni sulle risorse di servizio che puoi utilizzare nel tuo per i vincoli, consulta Servizi supportati da vincoli personalizzati.METHOD1,METHOD2
: un elenco di Metodi RESTful per cui applicare il vincolo. Può essereCREATE
oCREATE
eUPDATE
. Non tutti i servizi Google Cloud supportano entrambi i metodi. A vedere i metodi supportati per ogni servizio, trovare il servizio in Servizi supportati.CONDITION
: una condizione CEL che fa riferimento a una risorsa di servizio supportata, ad esempio"resource.management.autoUpgrade == false"
. Questo campo ha una lunghezza massima di 1000 caratteri. Per informazioni dettagliate sull'utilizzo di CEL, consulta Common Expression Language.ACTION
: l'azione da intraprendere se viene soddisfatto il criteriocondition
. Può essereALLOW
oDENY
.DISPLAY_NAME
: un nome per la limitazione. Questo campo ha una lunghezza massima di 200 caratteri.DESCRIPTION
: una descrizione comprensibile del vincolo da visualizzare come messaggio di errore in caso di violazione del criterio. Questo campo ha una lunghezza massima di 2000 caratteri.
Dopo aver creato il file YAML per un nuovo vincolo personalizzato, devi configurarlo per
disponibile per i criteri
dell'organizzazione nella tua organizzazione. Per impostare un vincolo personalizzato, utilizza il comando gcloud org-policies set-custom-constraint
:
gcloud org-policies set-custom-constraint CONSTRAINT_PATH
CONSTRAINT_PATH
con il percorso completo del
file delle limitazioni personalizzate. Ad esempio: /home/user/customconstraint.yaml
.
Al termine, i vincoli personalizzati saranno disponibili come criteri dell'organizzazione
nel tuo elenco di criteri dell'organizzazione
di Google Cloud.
Per verificare che la limitazione personalizzata esista, utilizza il comando gcloud org-policies list-custom-constraints
:
gcloud org-policies list-custom-constraints --organization=ORGANIZATION_ID
ORGANIZATION_ID
con l'ID della risorsa della tua organizzazione.
Per ulteriori informazioni, vedi
Visualizzazione dei criteri dell'organizzazione.Elimina un vincolo personalizzato
Puoi eliminare una limitazione personalizzata utilizzando la console Google Cloud o gcloud CLI.
Console
Nella console Google Cloud, vai alla pagina Criteri dell'organizzazione.
Seleziona il selettore di progetti nella parte superiore della pagina.
Dal selettore di progetti, seleziona la risorsa per cui vuoi eliminare il criterio dell'organizzazione.
Seleziona il vincolo da eliminare dall'elenco nella pagina Criteri organizzazione. Nella pagina Dettagli norme viene visualizzato un vincolo di rete.
Fai clic su
Elimina.Per confermare di voler eliminare il vincolo, fai clic su Elimina.
gcloud
Per eliminare una limitazione personalizzata, utilizza il comando org-policies delete-custom-constraint
gcloud CLI:
gcloud org-policies delete-custom-constraint custom.CONSTRAINT_NAME \
--organization=ORGANIZATION_ID
Sostituisci quanto segue:
ORGANIZATION_ID
: l'ID della tua organizzazione, ad esempio123456789
.CONSTRAINT_NAME
: il nome del vincolo personalizzato. Ad esempio,
.custom.disableGkeAutoUpgrade
L'output è simile al seguente:
Deleted custom constraint [organizations/123456789/customConstraints/custom.disableGkeAutoUpgrade
]
Se elimini un vincolo personalizzato, tutti i criteri creati utilizzando il vincolo continua a esistere, ma viene ignorato. Non puoi crearne un'altra vincolo personalizzato con lo stesso nome di un vincolo personalizzato eliminato.
Esempio: utilizza un vincolo personalizzato per imporre l'utilizzo di SSD anziché HDD
Crea il file
dataDiskType.yaml
come segue:name: organizations/651333429324/customConstraints/custom.dataDiskType resourceTypes: - sqladmin.googleapis.com/Instance methodTypes: - CREATE - UPDATE condition: resource.settings.dataDiskType == "PD_SSD" actionType: ALLOW displayName: dataDiskType must be PD_SDD description: dataDiskType must be PD_SSD
In questo modo, tutti i metodi
CREATE
eUPDATE
di un'istanza soddisfano il vincolo chedataDiskType
siaSSD
. Di conseguenza, tutte le istanze che coinvolgonoHDD
vengono rifiutate.Configura il vincolo personalizzato a livello di organizzazione:
gcloud org-policies set-custom-constraint dataDiskType.yaml
Crea "enforceDataDiskType.yaml" come segue:
name: projects/custom-constraints-cloudsql3/policies/custom.dataDiskType spec: rules: - enforce: true
Applica il vincolo personalizzato a livello di progetto:
gcloud org-policies set-policy enforceDataDiskType.yaml
Passaggi successivi
- Scopri di più sui criteri dell'organizzazione.
- Scopri come funziona l'IP privato con Cloud SQL.
- Scopri come configurare l'IP privato per Cloud SQL.
- Scopri di più sul servizio Criteri dell'organizzazione.
- Scopri di più sui vincoli dei criteri dell'organizzazione.
- Scopri di più sulla creazione e gestione di norme dell'organizzazione personalizzate