Mengelola resource Cloud Storage menggunakan batasan khusus

Kebijakan Organisasi menyediakan batasan standar untuk Cloud Storage. Namun, jika menginginkan kontrol yang lebih terperinci dan dapat disesuaikan atas kolom tertentu yang dibatasi dalam kebijakan organisasi, Anda juga dapat membuat batasan khusus dan menggunakan batasan kustom tersebut dalam kebijakan organisasi.

Halaman ini menjelaskan cara menetapkan batasan khusus untuk menerapkan kebijakan pada resource Cloud Storage.

Untuk menguji batasan baru sebelum diterapkan di lingkungan produksi Anda, gunakan Simulator Kebijakan.

Pewarisan kebijakan

Secara default, kebijakan organisasi diwarisi oleh turunan resource tempat Anda menerapkan kebijakan tersebut. Misalnya, jika Anda menerapkan kebijakan pada suatu organisasi, Google Cloud akan menerapkan kebijakan tersebut pada semua project di organisasi tersebut. Untuk mempelajari perilaku ini dan cara mengubahnya lebih lanjut, lihat Aturan evaluasi hierarki.

Harga

Layanan Kebijakan Organisasi, termasuk batasan yang telah ditetapkan dan khusus, ditawarkan tanpa biaya.

Batasan

  • Batasan khusus untuk resource Cloud Storage hanya dapat disiapkan dengan menggunakan Konsol Google Cloud atau Google Cloud CLI.

  • Batasan khusus hanya dapat diterapkan pada metode CREATE atau UPDATE untuk resource Cloud Storage.

  • Batasan kustom untuk resource Cloud Storage hanya akan berlaku pada project yang telah terdaftar dalam fitur. Untuk mendaftarkan project, hubungi Tim Akun Google Anda.

  • Batasan khusus yang baru diterapkan tidak berlaku secara otomatis ke resource yang ada. Resource yang ada harus diupdate agar batasan dapat diterapkan.

    Untuk menemukan resource yang sudah ada dan perlu diupdate, Anda dapat menerapkan kebijakan organisasi uji coba.

  • Batasan khusus tidak dapat digunakan untuk membatasi kebijakan ACL atau IAM pada objek atau bucket.

Resource yang didukung Cloud Storage

Untuk Cloud Storage, Anda dapat menetapkan batasan khusus pada resource berikut:

  • Bucket: storage.googleapis.com/Bucket

Peran yang diperlukan

Untuk mengetahui informasi tentang peran yang diperlukan untuk mengelola kebijakan organisasi dengan batasan khusus, lihat Peran yang diperlukan.

Selain mengelola kebijakan organisasi, Anda mungkin ingin menguji batasan kustom yang Anda buat. Untuk menguji batasan khusus, sebaiknya gunakan peran bawaan atau khusus yang paling tidak permisif yang berisi izin yang diperlukan untuk menguji batasan tertentu. Untuk melihat izin dan peran yang diperlukan, lihat peran dan izin untuk Cloud Storage.

Menyiapkan batasan kustom

Konsol

  1. Di konsol Google Cloud, buka halaman Organization policies.

    Buka Organization policies

  2. Pilih Project picker di bagian atas halaman.

  3. Dari Project picker, pilih resource yang ingin Anda tetapkan kebijakan organisasinya.

  4. Klik Custom constraint.

  5. Di kolom Display name, masukkan nama yang mudah dipahami untuk batasan tersebut. Kolom ini memiliki panjang maksimal 200 karakter. Jangan menggunakan PII atau data sensitif dalam nama batasan, karena dapat terekspos dalam pesan error.

  6. Di kotak Constraint ID, masukkan nama yang diinginkan untuk batasan kustom baru. Batasan kustom harus diawali dengan custom., dan hanya dapat menyertakan huruf besar, huruf kecil, atau angka, misalnya, custom.enforceBucketVersioning. Panjang maksimum kolom ini adalah 70 karakter, tidak termasuk awalan, misalnya, organizations/123456789/customConstraints/custom..

  7. Di kolom Description, masukkan deskripsi batasan yang mudah dipahami untuk ditampilkan sebagai pesan error saat kebijakan dilanggar. Kolom ini memiliki panjang maksimal 2000 karakter.

  8. Di kolom Resource type, pilih nama resource REST Google Cloud yang berisi objek dan kolom yang ingin dibatasi. Misalnya, storage.googleapis.com/Bucket.

  9. Di bagian Enforcement method, pilih apakah akan menerapkan batasan pada metode REST CREATE atau UPDATE.

  10. Untuk menentukan kondisi, klik Edit condition.

    1. Di panel Add condition, buat kondisi CEL yang mengacu ke resource layanan yang didukung, misalnya resource.versioning.enabled == true. Kolom ini memiliki panjang maksimum 1.000 karakter.

    2. Klik Save.

  11. Di bagian Action, pilih apakah akan mengizinkan atau menolak metode yang dievaluasi jika kondisi terpenuhi.

  12. Klik Create constraint.

Setelah Anda memasukkan nilai ke setiap kolom, konfigurasi YAML yang setara untuk batasan kustom ini akan muncul di sebelah kanan.

gcloud

Untuk membuat batasan khusus menggunakan Google Cloud CLI, buat file YAML untuk batasan kustom:

name: organizations/ORGANIZATION_ID/customConstraints/CONSTRAINT_NAME
resourceTypes:
- RESOURCE_NAME
methodTypes:
- METHOD1
- METHOD2
condition: "CONDITION"
actionType: ACTION
displayName: DISPLAY_NAME
description: DESCRIPTION

Ganti kode berikut:

  • ORGANIZATION_ID: ID organisasi Anda, seperti 123456789.

  • CONSTRAINT_NAME: nama yang Anda inginkan untuk batasan kustom baru. Batasan kustom harus diawali dengan custom., dan hanya dapat menyertakan huruf besar, huruf kecil, atau angka, misalnya, custom.enforceBucketVersioning. Panjang maksimum kolom ini adalah 70 karakter, tidak termasuk awalan, misalnya, organizations/123456789/customConstraints/custom..

  • RESOURCE_NAME: nama yang sepenuhnya memenuhi syarat untuk resource REST Google Cloud yang berisi objek dan kolom yang ingin Anda batasi. Contoh, storage.googleapis.com/Bucket.

  • METHOD1,METHOD2: daftar metode RESTful yang menerapkan batasan. Dapat berupa CREATE atau CREATE dan UPDATE.

  • CONDITION: kondisi CEL yang mengacu pada resource layanan yang didukung, misalnya "resource.versioning.enabled == true". Kolom ini memiliki panjang maksimal 1000 karakter. Untuk mengetahui detail tentang penggunaan CEL, lihat Common Expression Language.

  • ACTION: tindakan yang akan diambil jika condition terpenuhi. Ini dapat berupa ALLOW atau DENY.

  • DISPLAY_NAME: nama yang mudah dibaca manusia untuk batasan. Kolom ini memiliki panjang maksimal 200 karakter.

  • DESCRIPTION: deskripsi batasan yang mudah dipahami untuk ditampilkan sebagai pesan error saat kebijakan dilanggar. Kolom ini memiliki panjang maksimum 2.000 karakter.

Setelah membuat batasan khusus baru menggunakan Google Cloud CLI, Anda harus menyiapkannya agar tersedia untuk kebijakan organisasi di organisasi Anda. Untuk menyiapkan batasan kustom, gunakan perintah gcloud org-policies set-custom-constraint: 

gcloud org-policies set-custom-constraint CONSTRAINT_PATH
 Ganti CONSTRAINT_PATH dengan jalur lengkap ke file batasan kustom Anda. Contoh, /home/user/customconstraint.yaml. Setelah selesai, Anda akan menemukan batasan khusus sebagai kebijakan organisasi yang tersedia dalam daftar kebijakan organisasi Google Cloud. Untuk memverifikasi bahwa ada batasan kustom, gunakan perintah gcloud org-policies list-custom-constraints: 
gcloud org-policies list-custom-constraints --organization=ORGANIZATION_ID
 Ganti ORGANIZATION_ID dengan ID fasilitas organisasi Anda. Untuk informasi selengkapnya, lihat Melihat kebijakan organisasi.

Jika permintaan berhasil, outputnya akan mirip dengan berikut ini:

CUSTOM_CONSTRAINT             ACTION_TYPE  METHOD_TYPES   RESOURCE_TYPES                     DISPLAY_NAME
custom.uniformBucketLevelAccess  DENY         CREATE,UPDATE  storage.googleapis.com/Bucket  Enable object versioning

Untuk mengetahui informasi selengkapnya tentang cara menyiapkan dan mengelola batasan kustom, lihat Membuat dan mengelola batasan kustom.

Menerapkan batasan

Anda dapat menerapkan batasan boolean dengan membuat kebijakan organisasi yang mereferensikannya, dan menerapkan kebijakan organisasi tersebut ke resource Google Cloud.

Konsol

Untuk menerapkan batasan boolean:

  1. Di konsol Google Cloud, buka halaman Organization policies.

    Buka Organization policies

  2. Pilih pemilih project di bagian atas halaman.
  3. Dari pemilih project, pilih project yang kebijakan organisasinya ingin Anda tetapkan.
  4. Pilih batasan dari daftar di halaman Organization policies. Halaman Policy details untuk batasan tersebut akan muncul.
  5. Guna mengonfigurasi kebijakan organisasi untuk resource ini, klik Kelola kebijakan.
  6. Di halaman Edit policy, pilih Override parent's policy.
  7. Klik Tambahkan aturan.
  8. Di bagian Enforcement, pilih apakah penerapan kebijakan organisasi ini harus diaktifkan atau dinonaktifkan.
  9. Secara opsional, untuk membuat kebijakan organisasi bersyarat pada tag, klik Add condition. Perhatikan bahwa jika menambahkan aturan kondisional ke kebijakan organisasi, Anda harus menambahkan setidaknya satu aturan tanpa syarat atau kebijakan tidak dapat disimpan. Untuk detail selengkapnya, lihat Menetapkan kebijakan organisasi dengan tag.
  10. Jika ini adalah batasan kustom, Anda dapat mengklik Test changes untuk menyimulasikan efek kebijakan organisasi ini. Untuk informasi selengkapnya, lihat Menguji perubahan kebijakan organisasi dengan Policy Simulator.
  11. Untuk menyelesaikan dan menerapkan kebijakan organisasi, klik Tetapkan kebijakan. Kebijakan ini akan memerlukan waktu hingga 15 menit untuk diterapkan.

gcloud

Untuk membuat kebijakan organisasi yang menerapkan batasan boolean, buat file YAML kebijakan yang merujuk batasan tersebut: 

      name: projects/PROJECT_ID/policies/CONSTRAINT_NAME
      spec:
        rules:
        - enforce: true

Ganti kode berikut:

  • PROJECT_ID: project tempat Anda ingin menerapkan batasan.
  • CONSTRAINT_NAME: nama yang Anda tentukan untuk batasan kustom. Contoh, custom.uniformBucketLevelAccess

Untuk menerapkan kebijakan organisasi yang berisi batasan, jalankan perintah berikut: 

    gcloud org-policies set-policy POLICY_PATH

Ganti POLICY_PATH dengan jalur lengkap ke file YAML kebijakan organisasi Anda. Kebijakan ini memerlukan waktu hingga 15 menit untuk diterapkan.

Permintaan yang ditolak karena melanggar batasan kustom gagal dengan error 412: CUSTOM_ORGPOLICY_CONSTRAINT_FAILED.

Contoh: Membuat batasan yang menerapkan kunci enkripsi yang dikelola pelanggan pada bucket

gcloud

  1. Buat file batasan enforceCMEK.yaml dengan informasi berikut:

    name: organizations/ORGANIZATION_ID/customConstraints/custom.customerManagedEncryptionKeys
resource_types: storage.googleapis.com/Bucket
method_types:
– CREATE
– UPDATE
condition: "has(resource.encryption.defaultKmsKeyName)"
action_type: ALLOW
display_name: Enforce Cloud KMS key
description: When this constraint is enforced, newly created buckets and newly updated buckets must be encrypted with a
Cloud KMS key. The Cloud KMS key on existing buckets can be updated but not deleted.

  2. Tetapkan batasan kustom.

    gcloud org-policies set-custom-constraint enforceCMEK.yaml

  3. Buat file kebijakan enforceCMEK-policy.yaml dengan informasi berikut.

    name: projects/PROJECT_ID/policies/custom.customerManagedEncryptionKeys
spec:
  rules:
  – enforce: true

    Ganti PROJECT_ID dengan project ID Anda.

    Dalam contoh ini, kami menerapkan batasan ini di level project, tetapi Anda juga dapat menetapkannya di level organisasi atau folder.

  4. Terapkan kebijakan.

    gcloud org-policies set-policy enforceCMEK-policy.yaml

Contoh batasan kustom untuk kasus penggunaan umum

Bagian berikut memberikan sintaksis beberapa batasan khusus yang mungkin berguna bagi Anda:

Kasus penggunaan Sintaks
Bucket harus mengaktifkan Pembuatan Versi Objek 
      name: organizations/ORGANIZATION_ID/customConstraints/custom.enforceBucketVersioning
      method_types:
      – CREATE
      – UPDATE
      resource_types: storage.googleapis.com/Bucket
      condition: "resource.versioning.enabled == true"
      action_type: ALLOW
      display_name: Buckets must have Object Versioning enabled
      description: Newly created buckets and newly updated buckets must have Object Versioning enabled.
Bucket harus diberi nama menggunakan ekspresi reguler tertentu 
      name: organizations/ORGANIZATION_ID/customConstraints/custom.bucketName
      method_types:
      – CREATE
      resource_types: storage.googleapis.com/Bucket
      condition: "resource.name.matches('^[a-zA-Z]+$')"
      action_type: ALLOW
      display_name: Bucket names must match the specified regular expression
      description: Newly created buckets must have a name that matches the
      specified regular expression. Only letters are allowed in the bucket name.
Bucket tidak dapat mengaktifkan Kunci Retensi Objek 
      name: organizations/ORGANIZATION_ID/customConstraints/custom.prohibitObjectRetentionLock
      method_types:
      – CREATE
      – UPDATE
      resource_types: storage.googleapis.com/Bucket
      condition: "resource.objectRetention.mode == 'Enabled'"
      action_type: DENY
      display_name: Objects cannot have retention configurations
      description: Newly created buckets and newly updated buckets cannot have
      Object Retention Lock enabled.
Bucket harus memiliki label1 
      name: organizations/ORGANIZATION_ID/customConstraints/custom.labels
      method_types:
      – CREATE
      – UPDATE
      resource_types: storage.googleapis.com/Bucket
      condition: "'my_annotations.data.source' in resource.labels && resource.labels['my_annotations.data.source'] in ['SOURCE_IMAGES','SOURCE_TEXT','SOURCE_VIDEOS']"
      action_type: ALLOW
      display_name: Buckets must have a label classifying the contents of the bucket
      description: Newly created buckets and newly updated buckets must have the
      label my_annotations.data.source with the SOURCE_IMAGES, SOURCE_TEXT, or
      SOURCE_VIDEOS key.
Bucket harus berada di region ganda 
      name: organizations/ORGANIZATION_ID/customConstraints/custom.dualRegionUS
      method_types:
      – CREATE
      – UPDATE
      resource_types: storage.googleapis.com/Bucket
      condition: "'US-EAST1' in resource.customPlacementConfig.dataLocations && 'US-EAST4' in resource.customPlacementConfig.dataLocations"
      action_type: ALLOW
      display_name: Buckets must be located in a dual-region
      description: Newly created buckets and newly updated buckets must be located in a dual-region
      composed of the us-east1 and us-east4 regions.
Bucket tidak dapat menggunakan kelas penyimpanan lama 
      name: organizations/ORGANIZATION_ID/customConstraints/custom.disableLegacyStorageClass
      method_types:
      – CREATE
      – UPDATE
      resource_types: storage.googleapis.com/Bucket
      condition: "resource.storageClass in ['STANDARD', 'NEARLINE', 'COLDLINE', 'ARCHIVE']"
      action_type: ALLOW
      display_name: Buckets cannot use legacy storage classes
      description: Newly created buckets and newly updated buckets must use
      Standard storage, Nearline storage, Coldline storage, or Archive storage.

1 Menentukan kunci label bucket yang tidak ada akan menampilkan error BAD_CONDITION. Error ini memblokir metode CREATE dan UPDATE agar tidak dijalankan di bucket. Untuk menghindari error ini, selalu pastikan kunci label ada terlebih dahulu menggunakan "my_annotations.data.source" in resource.labels.

Kolom ekspresi untuk kondisi

Tabel berikut berisi kolom ekspresi yang dapat Anda gunakan untuk membuat kondisi. Kondisi ditulis dalam Common Expression Language (CEL). Perhatikan bahwa nilai kolom ekspresi ini peka huruf besar/kecil.

Untuk deskripsi kolom ekspresi berikut dan nilai yang dapat Anda tentukan, lihat Representasi resource Bucket untuk JSON API.

Kolom ekspresi Jenis nilai
billing message
billing.requesterPays bool
cors message
cors.maxAgeSeconds int
cors.method list
cors.origin list
cors.responseHeader list
customPlacementConfig message
customPlacementConfig.dataLocations1 list
defaultEventBasedHold bool
encryption message
encryption.defaultKmsKeyName string
iamConfiguration message
iamConfiguration.publicAccessPrevention string
iamConfiguration.uniformBucketLevelAccess message
iamConfiguration.uniformBucketLevelAccess.enabled bool
labels map
lifecycle message
lifecycle.rule list
lifecycle.rule.action message
lifecycle.rule.action.storageClass1 string
lifecycle.rule.action.type string
lifecycle.rule.condition message
lifecycle.rule.condition.age int
lifecycle.rule.condition.createdBefore string
lifecycle.rule.condition.customTimeBefore string
lifecycle.rule.condition.daysSinceCustomTime int
lifecycle.rule.condition.daysSinceNoncurrentTime int
lifecycle.rule.condition.isLive bool
lifecycle.rule.condition.matchesPrefix list
lifecycle.rule.condition.matchesStorageClass list
lifecycle.rule.condition.matchesSuffix list
lifecycle.rule.condition.noncurrentTimeBefore string
lifecycle.rule.condition.numNewerVersions int
location1 string
locationType string
logging message
logging.logBucket string
logging.logObjectPrefix string
objectRetention object
name string
projectNumber string
storageClass1 string
versioning message
versioning.enabled bool
website message
website.mainPageSuffix string
website.notFoundPage string

1 Nilai untuk kolom ini harus ditulis dalam huruf besar.

Pertimbangan

Label bucket tidak direkomendasikan untuk penggunaan dalam kondisi batasan khusus. Sebagai gantinya, gunakan tag, yang hanya dapat ditetapkan oleh individu dengan peran IAM yang diperlukan dan lebih dikontrol secara ketat daripada label.