Vincoli dei criteri dell'organizzazione per i log di flusso VPC

Questa pagina fornisce informazioni sui vincoli dei criteri dell'organizzazione che puoi configurare per i log di flusso VPC.

Gli amministratori possono abilitare o disabilitare i log di flusso VPC. Per impostazione predefinita, non viene applicato alcun vincolo all'abilitazione o alla disabilitazione dei log di flusso VPC.

Un amministratore dei criteri dell'organizzazione può utilizzare il vincolo constraints/compute.requireVpcFlowLogs per richiedere l'abilitazione dei log di flusso VPC per tutte le subnet nell'ambito del criterio con una frequenza di campionamento specificata. Il criterio viene applicato durante la creazione di subnet o l'aggiornamento della configurazione dei log di flusso VPC sulle subnet. Se le configurazioni dei log di flusso VPC non vengono aggiornate, le subnet preesistenti non sono interessate.

Prima di iniziare

Autorizzazioni IAM

L'entità che crea i vincoli deve avere il ruolo Amministratore dei criteri dell'organizzazione (roles/orgpolicy.policyAdmin).

Le entità che visualizzano i vincoli devono avere l'autorizzazione orgpolicy.policy.get nella risorsa appropriata. Ad esempio, il ruolo Visualizzatore criteri dell'organizzazione (roles/orgpolicy.policyViewer) include l'autorizzazione orgpolicy.policy.get.

Sfondo dei criteri dell'organizzazione

Se non hai mai lavorato con i vincoli dei criteri dell'organizzazione, consulta le pagine seguenti:

• Informazioni sui vincoli
• Informazioni sulla valutazione della gerarchia

Pianifica i vincoli

Puoi creare vincoli ai seguenti livelli della gerarchia delle risorse:

• organizzazione
• cartella
• progetto

Per impostazione predefinita, un vincolo creato in un nodo viene ereditato da tutti i nodi figlio. Tuttavia, un amministratore dei criteri dell'organizzazione per una determinata cartella può decidere se una determinata cartella eredita dalle cartelle padre, quindi l'ereditarietà non è automatica. Per ulteriori informazioni, consulta Ereditarietà in Informazioni sulla valutazione della gerarchia.

Frequenze di campionamento per i log di flusso VPC

Puoi utilizzare il vincolo constraints/compute.requireVpcFlowLogs per garantire che le seguenti tariffe di esempio siano configurate sulle subnet.

Valore criterio	Frequenza di campionamento
ESSENTIAL	Maggiore o uguale a 0,1 (10%) e minore di 0,5 (50%)
LIGHT	Maggiore o uguale a 0,5 (50%) e minore di 1,0 (100%)
COMPREHENSIVE	Uguale a 1,0 (100%)

Questi valori dei criteri possono essere combinati. Consulta la tabella seguente per gli esempi.

Frequenza di campionamento	Valori da includere nel vincolo
Almeno 0,1 (10%)	ESSENTIAL, LIGHT e COMPREHENSIVE
Almeno 0,5 (50%)	LIGHT e COMPREHENSIVE
1,0 (100%)	COMPREHENSIVE

Configura il vincolo dei log di flusso VPC

Console

Per ulteriori informazioni sulla configurazione di un vincolo utilizzando la console Google Cloud, consulta Personalizzazione dei criteri per i vincoli degli elenchi.

1. Vai alla pagina del criterio Richiedi criteri predefiniti per i log di flusso VPC nella console Google Cloud:

   Vai al criterio dell'organizzazione

2. Fai clic su Modifica.

3. Nella pagina Modifica, seleziona un valore per Si applica a:

   • Eredita il criterio della risorsa padre: se stai configurando i criteri per un progetto o una cartella, viene ereditato il criterio dell'ambito padre. Se stai configurando i criteri per un'organizzazione, il criterio non viene attivato.

   • Valore predefinito gestito da Google: disabilita il criterio, anche se è abilitato nell'ambito padre.

   • Personalizza: consente di attivare e configurare il criterio per tutte le subnet nell'ambito attuale.

4. Per Applicazione dei criteri, seleziona Sostituisci.

   L'opzione Unisci con padre non è consentita per i log di flusso VPC.

5. Nella sezione Regole, fai clic su Aggiungi regola.

6. In Valori del criterio, seleziona Personalizzato.

   Non sono consentiti altri valori per i log di flusso VPC.

7. Per Tipo di criterio, seleziona Consenti.

8. Nella sezione Valori personalizzati, inserisci uno dei valori che rappresentano la frequenza di campionamento che vuoi configurare.

   Se devi specificare più di un valore per configurare la frequenza di campionamento desiderata, fai clic su Nuovo valore del criterio e inserisci il valore successivo. Ripeti l'operazione di nuovo se devi specificare un terzo valore.

9. Fai clic su Salva.

gcloud

Per ulteriori informazioni sulla configurazione di un vincolo utilizzando Google Cloud CLI, consulta Configurare l'applicazione forzata per la risorsa dell'organizzazione.

1. Ottieni il criterio attuale nella risorsa dell'organizzazione utilizzando il comando describe. Questo comando restituisce il criterio applicato direttamente a questa risorsa. Se un criterio non viene configurato, il comando restituisce un errore NOT_FOUND.

   gcloud org-policies describe \
       compute.requireVpcFlowLogs \
       [ --organization=ID | --folder=ID | --project=ID ]
   

   Sostituisci quanto segue:

   • ID: l'ID dell'organizzazione, della cartella o del progetto a cui vuoi applicare il vincolo.

2. Imposta il criterio nell'organizzazione utilizzando il comando set-policy. Questo comando sovrascrive qualsiasi criterio attualmente collegato alla risorsa.

   1. Crea un file temporaneo /tmp/policy.yaml per archiviare il criterio:

       name: RESOURCE_TYPE/ID/policies/compute.requireVpcFlowLogs
       spec:
         rules:
         - values:
             allowedValues:
             - POLICY_VALUES
       

      Sostituisci quanto segue:

      • RESOURCE_TYPE: il tipo di risorsa a cui vuoi applicare il criterio. Le opzioni valide sono organizations, folders o projects.

      • ID: l'ID dell'organizzazione, della cartella o del progetto a cui vuoi applicare il vincolo.

      • POLICY_VALUES: i valori che rappresentano la frequenza di campionamento che vuoi configurare. Puoi combinare più valori. Per ulteriori informazioni, consulta Frequenze di campionamento per i log di flusso VPC.

      Questo vincolo di esempio richiede una frequenza di campionamento di almeno il 10% a livello di organizzazione:

      name: organizations/ID/policies/compute.requireVpcFlowLogs
      spec:
       rules:
       - values:
           allowedValues:
           - ESSENTIAL
           - LIGHT
           - COMPREHENSIVE
      

      Questo vincolo di esempio richiede una frequenza di campionamento di almeno il 50% a livello di organizzazione:

      name: organizations/ID/policies/compute.requireVpcFlowLogs
      spec:
       rules:
       - values:
           allowedValues:
           - LIGHT
           - COMPREHENSIVE
      
      

      Questo vincolo di esempio richiede una frequenza di campionamento del 100% a livello di organizzazione:

      name: organizations/ID/policies/compute.requireVpcFlowLogs
      spec:
       rules:
       - values:
           allowedValues:
           - COMPREHENSIVE
      

   2. Esegui il comando set-policy:

       gcloud org-policies set-policy /tmp/policy.yaml
       

3. Visualizza il criterio effettivo attuale utilizzando describe --effective. Questo comando restituisce il criterio dell'organizzazione così come viene valutato a questo punto nella gerarchia delle risorse, con inclusa l'ereditarietà.

   gcloud org-policies describe \
       compute.requireVpcFlowLogs --effective \
       [ --organization=ID | --folder=ID | --project=ID ]
   

Effetti dell'impostazione di un requisito per i log di flusso VPC

Se configuri un criterio dell'organizzazione con il vincolo constraints/compute.requireVpcFlowLogs, potresti visualizzare errori se crei una subnet o aggiorni la configurazione dei log di flusso VPC di una subnet esistente e la configurazione non soddisfa i requisiti del criterio.

Se si verificano errori, potrebbe essere necessario sapere come è configurato il vincolo, in modo da poter creare una configurazione valida. Se non disponi di autorizzazioni IAM sufficienti per visualizzare il vincolo, contatta l'amministratore della tua organizzazione.

Le subnet create prima dell'impostazione del criterio non sono interessate dal criterio, purché la configurazione dei log di flusso VPC non venga aggiornata.

Effetti sulla creazione delle subnet

Quando crei una nuova subnet nell'ambito del criterio, si applica quanto segue:

• Se i log di flusso VPC sono abilitati esplicitamente con una frequenza di campionamento che soddisfa i requisiti del criterio, la subnet viene creata con i log di flusso VPC abilitati e la frequenza di campionamento richiesta.

• Se i log di flusso VPC sono abilitati esplicitamente con una frequenza di campionamento che non soddisfa i requisiti del criterio, viene restituito un errore e la subnet non viene creata.

• Se i log di flusso VPC sono disabilitati in modo esplicito, viene restituito un errore e la subnet non viene creata.

• Se i log di flusso VPC non sono impostati e anche la frequenza di campionamento non è impostata, viene creata una subnet con i log di flusso VPC abilitati e la frequenza di campionamento minima richiesta dal criterio. Ad esempio, se il criterio è configurato con valori del criterio LIGHT e COMPREHENSIVE, la frequenza di campionamento viene impostata su 0.5 (50%).

Nota: quando crei una subnet utilizzando la console Google Cloud, devi impostare esplicitamente i log di flusso VPC da disabilitare o abilitare. Tuttavia, quando crei una subnet utilizzando Google Cloud CLI o l'API, puoi configurare i log di flusso VPC in modo che siano disabilitati, abilitati o non impostati.

Effetti sugli aggiornamenti delle subnet

Quando viene aggiornata una subnet esistente nell'ambito dei criteri, si applica quanto segue:

• Se l'aggiornamento abilita i log di flusso VPC o se la frequenza di campionamento è già abilitata e la frequenza di campionamento è impostata su un valore che soddisfa i requisiti del criterio, la subnet viene aggiornata con i log di flusso VPC abilitati con la frequenza di campionamento richiesta.

• Se l'aggiornamento abilita i log di flusso VPC o se la frequenza di campionamento è già abilitata e la frequenza di campionamento è impostata su un valore che non soddisfa i requisiti del criterio, viene restituito un errore e la subnet non viene aggiornata.

• Se l'aggiornamento disabilita i log di flusso VPC, viene restituito un errore e la subnet non viene aggiornata.

• Se l'aggiornamento non abilita o disabilita i log di flusso VPC e non è impostata neanche la frequenza di campionamento, il criterio viene ignorato e la subnet viene aggiornata.

Effetti sulla creazione della rete VPC in modalità automatica

Quando viene creata una rete VPC in modalità automatica, viene creata automaticamente una subnet in ogni regione. Se la rete rientra nell'ambito di un criterio dei log di flusso VPC, i log di flusso VPC vengono abilitati nelle subnet con la frequenza di campionamento minima definita dal criterio. Ad esempio, se il criterio viene configurato con valori del criterio LIGHT e COMPREHENSIVE, la frequenza di campionamento viene impostata su 0.5 (50%).

Passaggi successivi

• Scopri di più sui log di flusso VPC.
• Configura i log di flusso VPC.