Configura i vincoli dei criteri dell'organizzazione per i log di flusso VPC

Questa pagina fornisce informazioni sull'organizzazione vincoli dei criteri che puoi configurare per i log di flusso VPC.

Gli amministratori possono attivare o disattivare i log di flusso VPC. Per impostazione predefinita, vengono imposti vincoli all'abilitazione o alla disabilitazione dei log di flusso VPC.

Un amministratore dei criteri dell'organizzazione può utilizzare Vincolo di constraints/compute.requireVpcFlowLogs che richiede Log di flusso VPC è abilitato per tutte le subnet nell'ambito del criterio con un alla frequenza di campionamento specificata. Il criterio viene applicato durante la creazione delle subnet o l'aggiornamento della configurazione dei log di flusso VPC sulle subnet. Le subnet preesistenti non sono interessate se Le configurazioni di Log di flusso VPC non vengono aggiornate.

Prima di iniziare

Autorizzazioni IAM

Il principale che crea i vincoli deve disporre del ruolo Amministratore dei criteri dell'organizzazione (roles/orgpolicy.policyAdmin).

Le entità che visualizzano i vincoli devono disporre dell'autorizzazione orgpolicy.policy.get sulla risorsa appropriata. Ad esempio, i campi Criterio dell'organizzazione Ruolo Visualizzatore (roles/orgpolicy.policyViewer) include l'autorizzazione orgpolicy.policy.get.

Sfondo dei criteri dell'organizzazione

Se non hai mai utilizzato i vincoli delle norme dell'organizzazione, consulta le seguenti pagine:

Pianifica i vincoli

Puoi creare vincoli ai seguenti livelli della gerarchia delle risorse:

  • Organizzazione
  • Cartella
  • Progetto

Per impostazione predefinita, un vincolo creato su un nodo viene ereditato da tutti i nodi figlio. Tuttavia, un amministratore dei criteri dell'organizzazione per una determinata cartella può decidere se una determinata cartella eredita i criteri dalle cartelle principali, pertanto l'ereditarietà non è automatica. Per ulteriori informazioni, vedi Ereditarietà in Informazioni sulla valutazione della gerarchia.

Frequenze di campionamento per i log di flusso VPC

Puoi utilizzare il vincolo constraints/compute.requireVpcFlowLogs per assicurarti che le seguenti frequenze di campionamento siano configurate sulle subnet.

Valore criterio Frequenza di campionamento
ESSENTIAL Maggiore o uguale a 0,1 (10%) e minore di 0,5 (50%)
LIGHT Maggiore o uguale a 0,5 (50%) e minore di 1,0 (100%)
COMPREHENSIVE Uguale a 1,0 (100%)

Questi valori del criterio possono essere combinati. Consulta la tabella seguente per alcuni esempi.

Frequenza di campionamento Valori da includere nel vincolo
Almeno 0,1 (10%) ESSENTIAL, LIGHT e COMPREHENSIVE
Almeno 0,5 (50%) LIGHT e COMPREHENSIVE
1,0 (100%) COMPREHENSIVE

Configura il vincolo dei log di flusso VPC

Console

Per ulteriori informazioni sulla configurazione di una limitazione utilizzando la console Google Cloud, consulta Personalizzare i criteri per le limitazioni degli elenchi.

  1. Vai alla pagina dei criteri Richiedi criteri predefiniti per i log di flusso VPC nella Console Google Cloud:

    Vai al criterio dell'organizzazione

  2. Fai clic su Modifica.

  3. Nella pagina Modifica, seleziona un valore per Si applica a:

    • Eredità del criterio del gruppo principale: se configuri i criteri per un progetto o una cartella, il criterio dell'ambito principale viene ereditato. Se configurano criteri per un'organizzazione, il criterio non è stata attivata.

    • Valore predefinito gestito da Google: disattiva il criterio, anche se è attivo nell'ambito padre.

    • Personalizza: consente di attivare e configurare il criterio per tutti. nell'ambito attuale.

  4. Per Applicazione criterio, seleziona Sostituisci.

    L'opzione Unisci con elemento padre non è consentita per i log di flusso VPC.

  5. Nella sezione Regole, fai clic su Aggiungi regola.

  6. In Valori criterio, seleziona Personalizzato.

    Non sono consentiti altri valori per i log di flusso VPC.

  7. Per Tipo di criterio, seleziona Consenti.

  8. Nella sezione Valori personalizzati, inserisci uno dei valori che rappresenta la frequenza di campionamento che vuoi configurare.

    Se è necessario specificare più di un valore per configurare il campionamento percentuale che preferisci, fai clic su Nuovo valore norma e inserisci il valore successivo. Ripeti l'operazione se devi specificare un terzo valore.

  9. Fai clic su Salva.

gcloud

Per ulteriori informazioni sulla configurazione di una limitazione utilizzando gcloud CLI, consulta Configurare l'applicazione delle norme nella risorsa dell'organizzazione.

  1. Recupera il criterio corrente nella risorsa dell'organizzazione utilizzando il comando describe . Questo comando restituisce il criterio applicato direttamente a questa risorsa. Se un criterio non viene configurato, il comando restituisce un errore NOT_FOUND.

    gcloud org-policies describe \
    compute.requireVpcFlowLogs \
    [ --organization=ID | --folder=ID | --project=ID ]

    Sostituisci quanto segue:

    • ID: l'ID dell'organizzazione, della cartella o del progetto a cui vuoi applicare il vincolo.

  2. Imposta il criterio nell'organizzazione utilizzando il comando set-policy. Questo sovrascrive qualsiasi criterio attualmente collegato alla risorsa.

    1. Crea un file temporaneo /tmp/policy.yaml per archiviare il criterio:

       name: RESOURCE_TYPE/ID/policies/compute.requireVpcFlowLogs
 spec:
   rules:
   - values:
       allowedValues:
       - POLICY_VALUES

      Sostituisci quanto segue:

      • RESOURCE_TYPE: il tipo di risorsa che vuoi per applicare il criterio. Le opzioni valide sono organizations, folders o projects.

      • ID: l'ID dell'organizzazione, della cartella o progetto a cui vuoi applicare il vincolo.

      • POLICY_VALUES: i valori che rappresentano frequenza di campionamento che desideri configurare. Puoi combinare più valori. Per ulteriori informazioni, consulta Frequenze di campionamento per i log di flusso VPC.

      Questo vincolo di esempio richiede una frequenza di campionamento di almeno il 10% a livello di organizzazione:

      name: organizations/ID/policies/compute.requireVpcFlowLogs
spec:
 rules:
 - values:
     allowedValues:
     - ESSENTIAL
     - LIGHT
     - COMPREHENSIVE

      Questo vincolo di esempio richiede una frequenza di campionamento di almeno il 50% a a livello di organizzazione:

      name: organizations/ID/policies/compute.requireVpcFlowLogs
spec:
 rules:
 - values:
     allowedValues:
     - LIGHT
     - COMPREHENSIVE

      Questo vincolo di esempio richiede una frequenza di campionamento del 100% a livello di organizzazione:

      name: organizations/ID/policies/compute.requireVpcFlowLogs
spec:
 rules:
 - values:
     allowedValues:
     - COMPREHENSIVE

    2. Esegui il comando set-policy:

       gcloud org-policies set-policy /tmp/policy.yaml

  3. Visualizza il criterio attualmente in vigore utilizzando describe --effective. Questo comando restituisce il criterio dell'organizzazione così come viene valutato in questo punto nella gerarchia delle risorse con l'eredità inclusa.

    gcloud org-policies describe \
    compute.requireVpcFlowLogs --effective \
    [ --organization=ID | --folder=ID | --project=ID ]

Effetti dell'impostazione di un requisito per i log di flusso VPC

Se configuri un criterio dell'organizzazione con il vincolo constraints/compute.requireVpcFlowLogs, potresti visualizzare errori se crei una subnet o aggiorni la configurazione dei log di flusso VPC di una subnet esistente e la configurazione non soddisfa i requisiti del criterio.

Se vedi errori, potresti dover sapere come è configurato il vincolo per poter creare una configurazione valida. Se non disponi di autorizzazioni IAM sufficienti per visualizzare la limitazione, contatta l'amministratore della tua organizzazione.

Le subnet create prima dell'impostazione del criterio non sono interessate dal criterio, a condizione che la loro configurazione dei log di flusso VPC non venga aggiornata.

Effetti sulla creazione delle subnet

Quando crei una nuova subnet nell'ambito del criterio, si applica quanto segue:

  • Se i log di flusso VPC sono abilitati esplicitamente con una frequenza di campionamento che soddisfa i requisiti del criterio, la subnet viene creata con i log di flusso VPC abilitati e la frequenza di campionamento richiesta.

  • Se i log di flusso VPC sono abilitati esplicitamente con una frequenza di campionamento che soddisfano i requisiti del criterio, viene restituito un errore e la subnet non è stato creato.

  • Se Log di flusso VPC è esplicitamente disabilitato, viene restituito un errore e viene creata una subnet.

  • Se i log di flusso VPC non sono impostati e non è impostata nemmeno la frequenza di campionamento, viene creata una sottorete con i log di flusso VPC abilitati e la frequenza di campionamento minima richiesta dal criterio. Ad esempio, se il criterio è configurato con un criterio valori di LIGHT e COMPREHENSIVE, la frequenza di campionamento è impostata su 0.5 (50%).

Effetti sugli aggiornamenti delle subnet

Quando aggiorni una subnet esistente nell'ambito dei criteri, si applica quanto segue:

  • Se l'aggiornamento attiva i log di flusso VPC o se questi erano già attivati e la frequenza di campionamento è impostata su un valore che soddisfa i requisiti del criterio, la subnet viene aggiornata con i log di flusso VPC abilitati con la frequenza di campionamento richiesta.

  • Se l'aggiornamento abilita i log di flusso VPC o se i log di flusso VPC erano già e la frequenza di campionamento è impostata su un valore che non soddisfa ai requisiti del criterio, viene restituito un errore e la subnet non viene aggiornata.

  • Se l'aggiornamento disattiva i log di flusso VPC, viene restituito un errore e la subnet non viene aggiornata.

  • Se l'aggiornamento non abilita o disabilita i log di flusso VPC e il campionamento anche la frequenza non viene impostata, il criterio viene ignorato e la subnet viene aggiornata.

Effetti sulla creazione di una rete VPC in modalità automatica

Quando viene creata una rete VPC in modalità automatica, viene creata automaticamente una subnet in ogni regione. Se la rete rientra nell'ambito di un criterio per i log di flusso VPC, i log di flusso VPC vengono attivati nelle subnet con la frequenza di campionamento minima definita dal criterio. Ad esempio, se il criterio è configurato con valori LIGHT e COMPREHENSIVE, la frequenza di campionamento è impostata su 0.5 (50%).

Passaggi successivi