Benutzerdefinierte Einschränkungen für Access Context Manager erstellen

Auf dieser Seite erfahren Sie, wie Sie benutzerdefinierte Beschränkungen des Organisationsrichtliniendienstes verwenden, um bestimmte Vorgänge für die folgenden Google Cloud -Ressourcen einzuschränken:

• accesscontextmanager.googleapis.com/AccessPolicy
• accesscontextmanager.googleapis.com/AccessLevel
• accesscontextmanager.googleapis.com/AuthorizedOrgsDesc
• accesscontextmanager.googleapis.com/ServicePerimeter

Weitere Informationen zu Organisationsrichtlinien finden Sie unter Benutzerdefinierte Organisationsrichtlinien.

Informationen zu Organisationsrichtlinien und Beschränkungen

Mit dem Organisationsrichtliniendienst von Google Cloud können Sie die Ressourcen Ihrer Organisation zentral und programmatisch steuern. Als Administrator für Organisationsrichtlinien können Sie eine Organisationsrichtlinie definieren, also eine Reihe von Beschränkungen, die für Ressourcen vonGoogle Cloud und nachfolgende Elemente dieser Ressourcen in der Ressourcenhierarchie vonGoogle Cloud gelten. Sie können Organisationsrichtlinien auf Organisations-, Ordner- oder Projektebene erzwingen.

Die Organisationsrichtlinie bietet integrierte verwaltete Beschränkungen für verschiedene Dienste von Google Cloud . Wenn Sie jedoch eine detailliertere, anpassbare Steuerung der spezifischen Felder wünschen, die in Ihren Organisationsrichtlinien beschränkt werden, können Sie auch benutzerdefinierte Beschränkungen erstellen und diese benutzerdefinierten Beschränkungen in einer Organisationsrichtlinie verwenden.

Übernahme von Richtlinien

Standardmäßig werden Organisationsrichtlinien von den Nachfolgerelementen der Ressourcen übernommen, für die Sie die Richtlinie erzwingen. Wenn Sie beispielsweise eine Richtlinie für einen Ordner erzwingen, erzwingt Google Cloud die Richtlinie für alle Projekte in dem Ordner. Weitere Informationen zu diesem Verhalten und zu dessen Änderung finden Sie unter Regeln für die Bewertung der Hierarchie.

Hinweis

Sign in to your Google Cloud account. If you're new to Google Cloud, create an account to evaluate how our products perform in real-world scenarios. New customers also get $300 in free credits to run, test, and deploy workloads.

In the Google Cloud console, on the project selector page, select or create a Google Cloud project.

Roles required to select or create a project

• Select a project: Selecting a project doesn't require a specific IAM role—you can select any project that you've been granted a role on.
• Create a project: To create a project, you need the Project Creator (roles/resourcemanager.projectCreator), which contains the resourcemanager.projects.create permission. Learn how to grant roles.

Go to project selector

Verify that billing is enabled for your Google Cloud project.

Install the Google Cloud CLI.

Wenn Sie einen externen Identitätsanbieter (IdP) verwenden, müssen Sie sich zuerst mit Ihrer föderierten Identität in der gcloud CLI anmelden.

Führen Sie folgenden Befehl aus, um die gcloud CLI zu initialisieren:

gcloud init

In the Google Cloud console, on the project selector page, select or create a Google Cloud project.

Roles required to select or create a project

• Select a project: Selecting a project doesn't require a specific IAM role—you can select any project that you've been granted a role on.
• Create a project: To create a project, you need the Project Creator (roles/resourcemanager.projectCreator), which contains the resourcemanager.projects.create permission. Learn how to grant roles.

Go to project selector

Verify that billing is enabled for your Google Cloud project.

Install the Google Cloud CLI.

Wenn Sie einen externen Identitätsanbieter (IdP) verwenden, müssen Sie sich zuerst mit Ihrer föderierten Identität in der gcloud CLI anmelden.

Führen Sie folgenden Befehl aus, um die gcloud CLI zu initialisieren:

gcloud init

1. Sie müssen Ihre Organisations-ID kennen.

Erforderliche Rollen

Bitten Sie Ihren Administrator, Ihnen die IAM-Rolle Organization Policy Administrator (roles/orgpolicy.policyAdmin) für die Organisationsressource zu gewähren, um die Berechtigungen zu erhalten, die Sie zum Verwalten von Organisationsrichtlinien benötigen. Weitere Informationen zum Zuweisen von Rollen finden Sie unter Zugriff auf Projekte, Ordner und Organisationen verwalten.

Sie können die erforderlichen Berechtigungen auch über benutzerdefinierte Rollen oder andere vordefinierte Rollen erhalten.

Benutzerdefinierte Beschränkung erstellen

Eine benutzerdefinierte Beschränkung wird in einer YAML-Datei durch die Ressourcen, Methoden, Bedingungen und Aktionen definiert, die von dem Dienst unterstützt werden, für den Sie die Organisationsrichtlinie erzwingen. Bedingungen für Ihre benutzerdefinierten Beschränkungen werden mithilfe der Common Expression Language (CEL) definiert. Weitere Informationen zum Erstellen von Bedingungen in benutzerdefinierten Beschränkungen mit CEL finden Sie im Abschnitt CEL unter Benutzerdefinierte Beschränkungen erstellen und verwalten.

Zum Erstellen einer benutzerdefinierten Beschränkung erstellen Sie eine YAML-Datei im folgenden Format:

name: organizations/ORGANIZATION_ID/customConstraints/CONSTRAINT_NAME resourceTypes: - RESOURCE_NAME methodTypes: - CREATE - UPDATE condition: "CONDITION" actionType: ACTION displayName: DISPLAY_NAME description: DESCRIPTION 

Ersetzen Sie Folgendes:

• ORGANIZATION_ID: Ihre Organisations-ID, z. B. 123456789.

• CONSTRAINT_NAME: Name, den Sie für Ihre neue benutzerdefinierte Beschränkung verwenden möchten. Eine benutzerdefinierte Beschränkung muss mit custom. beginnen und darf nur Großbuchstaben, Kleinbuchstaben oder Ziffern enthalten. Beispiel: custom.disableCustomAccessLevels. Die maximale Länge dieses Feldes beträgt 70 Zeichen.

• RESOURCE_NAME: Der vollständig qualifizierte Name der Ressource vonGoogle Cloud , die das Objekt und das Feld enthält, das Sie beschränken möchten. Beispiel: accesscontextmanager.googleapis.com/AccessLevel

• CONDITION: eine CEL-Bedingung, die für eine Darstellung einer unterstützten Dienstressource geschrieben wird. Dieses Feld hat eine maximale Länge von 1.000 Zeichen. Weitere Informationen zu den verfügbaren Ressourcen, auf die Bedingungen geschrieben werden können, finden Sie unter Unterstützte Ressourcen. Beispiel: "resource.basic.conditions.exists(c, has(c.devicePolicy))".

• ACTION: Aktion, die ausgeführt werden soll, wenn condition erfüllt ist. Mögliche Werte sind ALLOW und DENY.

• DISPLAY_NAME: Ein nutzerfreundlicher Name für die Beschränkung. Dieses Feld hat eine maximale Länge von 200 Zeichen.

• DESCRIPTION: Eine nutzerfreundliche Beschreibung der Beschränkung, die als Fehlermeldung angezeigt werden soll, wenn die Richtlinie verletzt wird. Dieses Feld hat eine maximale Länge von 2.000 Zeichen.

Weitere Informationen zum Erstellen einer benutzerdefinierten Beschränkung finden Sie unter Benutzerdefinierte Beschränkungen definieren.

Benutzerdefinierte Beschränkung einrichten

gcloud org-policies set-custom-constraint CONSTRAINT_PATH

gcloud org-policies list-custom-constraints --organization=ORGANIZATION_ID

Benutzerdefinierte Organisationsrichtlinie erzwingen

      name: projects/PROJECT_ID/policies/CONSTRAINT_NAME       spec:         rules:         - enforce: true     

    gcloud org-policies set-policy POLICY_PATH     

Benutzerdefinierte Organisationsrichtlinie testen

Im folgenden Beispiel werden eine benutzerdefinierte Einschränkung und eine Richtlinie erstellt, die alle einfachen Zugriffsebenen in einer bestimmten Organisation ablehnen, die das Attribut devicePolicy verwendet.

Bevor Sie beginnen, sollten Sie Folgendes kennen:

• Ihre Organisations-ID.
• Eine Projekt-ID

Benutzerdefinierte Beschränkung erstellen

1. Speichern Sie die folgende Datei als constraint-disable_custom_access_level.yaml:

   name: organizations/ORGANIZATION_ID/customConstraints/custom.disableCustomAccessLevels resourceTypes: - accesscontextmanager.googleapis.com/AccessLevel methodTypes: - CREATE - UPDATE condition: "resource.basic.conditions.exists(c, has(c.devicePolicy))" actionType: DENY displayName: Deny basic access levels using `devicePolicy` description: Basic access levels must not use the `devicePolicy` attribute. 

   Ersetzen Sie ORGANIZATION_ID durch Ihre Organisations-ID.

   Dadurch wird eine Einschränkung definiert, die nur das Erstellen grundlegender Zugriffsebenen zulässt und das Erstellen benutzerdefinierter Zugriffsebenen ablehnt.

2. Wenden Sie die Einschränkung an:

   gcloud org-policies set-custom-constraint ~/constraint-disable_custom_access_level.yaml 

3. Prüfen Sie, ob die Einschränkung vorhanden ist:

   gcloud org-policies list-custom-constraints --organization=ORGANIZATION_ID 

   Die Ausgabe sieht etwa so aus:

   CUSTOM_CONSTRAINT                  ACTION_TYPE   METHOD_TYPES   RESOURCE_TYPES                                    DISPLAY_NAME custom.disableCustomAccessLevels   DENY          CREATE         accesscontextmanager.googleapis.com/AccessLevel   Deny basic access levels using `devicePolicy` ... 

Richtlinie erstellen

1. Speichern Sie die folgende Datei als policy-disable_custom_access_level.yaml:

   name: organizations/ORGANIZATION_ID/policies/custom.disableCustomAccessLevels spec:   rules:   - enforce: true 

   Ersetzen Sie ORGANIZATION_ID durch Ihre Organisations-ID.

2. Wenden Sie die Richtlinie an:

   gcloud org-policies set-policy ~/policy-disable_custom_access_level.yaml 

3. Prüfen Sie, ob die Richtlinie vorhanden ist:

   gcloud org-policies list --organization=ORGANIZATION_ID 

   Die Ausgabe sieht etwa so aus:

   CONSTRAINT                               LIST_POLICY   BOOLEAN_POLICY   ETAG custom.disableCustomAccessLevels         -             SET              COCsm5QGENiXi2E= 

Warten Sie nach dem Anwenden der Richtlinie etwa zwei Minuten, bis Google Cloud die Richtlinie durchgesetzt hat.

Richtlinie testen

1. Speichern Sie die folgende Datei mit der Spezifikation der Zugriffsebene als example_access_level.yaml:

   - devicePolicy: requireScreenlock: true 

2. So erstellen Sie eine Zugriffsebene:

   gcloud access-context-manager levels create ACCESS_LEVEL_NAME --policy=ACCESS_POLICY_ID --title=ACCESS_LEVEL_TITLE --basic-level-spec=example_access_level.yaml 

   Ersetzen Sie Folgendes:

   • ACCESS_LEVEL_NAME: Ein eindeutiger Name für die Zugriffsebene.

   • ACCESS_POLICY_ID: Die ID der Zugriffsrichtlinie Ihrer Organisation.

   • ACCESS_LEVEL_TITLE: Ein kurzer Titel für die Zugriffsebene.

   Weitere Informationen zum Erstellen einer einfachen Zugriffsebene finden Sie unter Einfache Zugriffsebene erstellen.

   Die Ausgabe sieht etwa so aus:

   ERROR: (gcloud.access-context-manager.levels.create) [USER] does not have permission to access accessPolicies instance [ACCESS_POLICY_ID] (or it may not exist): The caller does not have permission. This command is authenticated as USER which is the active account specified by the [core/account] property   '@type': type.googleapis.com/google.rpc.DebugInfo   detail: '[ORIGINAL ERROR] generic::permission_denied: com.google.apps.framework.request.ForbiddenException:     The user is not authorized!' 

Beispiele für benutzerdefinierte Organisationsrichtlinien für häufige Anwendungsfälle

In dieser Tabelle finden Sie Syntaxbeispiele für einige gängige benutzerdefinierte Beschränkungen.

    name: organizations/ORGANIZATION_ID/customConstraints/custom.disableScopedPolicies     resourceTypes:     - accesscontextmanager.googleapis.com/AccessPolicy     methodTypes:     - CREATE     - UPDATE     condition: "size(resource.scopes) == 0"     actionType: DENY     displayName: Disable scoped policies     description: Disables the creation of scoped policies.     

    name: organizations/ORGANIZATION_ID/customConstraints/custom.denyBasicAccessLevels     resourceTypes:     - accesscontextmanager.googleapis.com/AccessLevel     methodTypes:     - CREATE     - UPDATE     condition: "has(resource.custom)"     actionType: ALLOW     displayName: Disable custom access levels     description: Disables the creation of custom access levels. Allows only basic access levels.     

    name: organizations/ORGANIZATION_ID/customConstraints/custom.denyRegionCode     resourceTypes:     - accesscontextmanager.googleapis.com/AccessLevel     methodTypes:     - CREATE     - UPDATE     condition: "resource.custom.expr.expression.contains('region_code')"     actionType: DENY     displayName: Disable region_code in custom access levels     description: Disables the use of region_code attribute in custom access levels.     

    name: organizations/ORGANIZATION_ID/customConstraints/custom.enforseVerboseDescriptioninAccessLevels     resourceTypes:     - accesscontextmanager.googleapis.com/AccessLevel     methodTypes:     - CREATE     - UPDATE     condition: "size(resource.description) < 50"     actionType: DENY     displayName: Enforce access level descriptions to have at least 50 characters     description: Denies access levels with a short description. The access level description must be at least 50 characters long.     

    name: organizations/ORGANIZATION_ID/customConstraints/custom.denyBridgePerimeters     resourceTypes:     - accesscontextmanager.googleapis.com/ServicePerimeter     methodTypes:     - CREATE     - UPDATE     condition: "resource.perimeterType == 'PERIMETER_TYPE_BRIDGE'"     actionType: DENY     displayName: Disable perimeter bridges     description: Disables the use of perimeter bridges. Instead, use ingress and egress rules.     

Von Access Context Manager unterstützte Ressourcen

Nächste Schritte

• Weitere Informationen zum Organisationsrichtliniendienst.
• Organisationsrichtlinien erstellen und verwalten.
• Eine vollständige Liste der vordefinierten Beschränkungen für Organisationsrichtlinien finden Sie hier.