Benutzerdefinierte Organisationsrichtlinie hinzufügen

Auf dieser Seite erfahren Sie, wie Sie benutzerdefinierte Beschränkungen des Organisationsrichtliniendienstes verwenden, um bestimmte Vorgänge für die folgenden Google Cloud -Ressourcen einzuschränken:

• spanner.googleapis.com/Backup
• spanner.googleapis.com/Database
• spanner.googleapis.com/Instance
• spanner.googleapis.com/InstanceConfig

Weitere Informationen zu Organisationsrichtlinien finden Sie unter Benutzerdefinierte Organisationsrichtlinien.

Informationen zu Organisationsrichtlinien und Beschränkungen

Mit dem Organisationsrichtliniendienst von Google Cloud können Sie die Ressourcen Ihrer Organisation zentral und programmatisch steuern. Als Administrator für Organisationsrichtlinien können Sie eine Organisationsrichtlinie definieren, also eine Reihe von Beschränkungen, die für Ressourcen vonGoogle Cloud und nachfolgende Elemente dieser Ressourcen in der Ressourcenhierarchie vonGoogle Cloud gelten. Sie können Organisationsrichtlinien auf Organisations-, Ordner- oder Projektebene erzwingen.

Die Organisationsrichtlinie bietet integrierte verwaltete Beschränkungen für verschiedene Dienste von Google Cloud . Wenn Sie jedoch eine detailliertere, anpassbare Steuerung der spezifischen Felder wünschen, die in Ihren Organisationsrichtlinien beschränkt werden, können Sie auch benutzerdefinierte Beschränkungen erstellen und diese benutzerdefinierten Beschränkungen in einer Organisationsrichtlinie verwenden.

Übernahme von Richtlinien

Standardmäßig werden Organisationsrichtlinien von den Nachfolgerelementen der Ressourcen übernommen, für die Sie die Richtlinie erzwingen. Wenn Sie beispielsweise eine Richtlinie für einen Ordner erzwingen, erzwingt Google Cloud die Richtlinie für alle Projekte in dem Ordner. Weitere Informationen zu diesem Verhalten und zu dessen Änderung finden Sie unter Regeln für die Bewertung der Hierarchie.

Hinweis

Sign in to your Google Cloud account. If you're new to Google Cloud, create an account to evaluate how our products perform in real-world scenarios. New customers also get $300 in free credits to run, test, and deploy workloads.

In the Google Cloud console, on the project selector page, select or create a Google Cloud project.

Roles required to select or create a project

• Select a project: Selecting a project doesn't require a specific IAM role—you can select any project that you've been granted a role on.
• Create a project: To create a project, you need the Project Creator (roles/resourcemanager.projectCreator), which contains the resourcemanager.projects.create permission. Learn how to grant roles.

Go to project selector

Verify that billing is enabled for your Google Cloud project.

Install the Google Cloud CLI.

Wenn Sie einen externen Identitätsanbieter (IdP) verwenden, müssen Sie sich zuerst mit Ihrer föderierten Identität in der gcloud CLI anmelden.

Führen Sie folgenden Befehl aus, um die gcloud CLI zu initialisieren:

gcloud init

In the Google Cloud console, on the project selector page, select or create a Google Cloud project.

Roles required to select or create a project

• Select a project: Selecting a project doesn't require a specific IAM role—you can select any project that you've been granted a role on.
• Create a project: To create a project, you need the Project Creator (roles/resourcemanager.projectCreator), which contains the resourcemanager.projects.create permission. Learn how to grant roles.

Go to project selector

Verify that billing is enabled for your Google Cloud project.

Install the Google Cloud CLI.

Wenn Sie einen externen Identitätsanbieter (IdP) verwenden, müssen Sie sich zuerst mit Ihrer föderierten Identität in der gcloud CLI anmelden.

Führen Sie folgenden Befehl aus, um die gcloud CLI zu initialisieren:

gcloud init

1. Sie müssen Ihre Organisations-ID kennen.

Erforderliche Rollen

Bitten Sie Ihren Administrator, Ihnen die folgenden IAM-Rollen zuzuweisen, um die Berechtigungen zu erhalten, die Sie zur Verwaltung von Organisationsrichtlinien benötigen:

• Administrator für Organisationsrichtlinien (roles/orgpolicy.policyAdmin) für die Organisationsressource
• So erstellen oder aktualisieren Sie eine Spanner-Datenbank: (roles/spanner.admin) für die Projektressource

Weitere Informationen zum Zuweisen von Rollen finden Sie unter Zugriff auf Projekte, Ordner und Organisationen verwalten.

Diese vordefinierten Rollen enthalten die Berechtigungen, die zum Verwalten von Organisationsrichtlinien erforderlich sind. Erweitern Sie den Abschnitt Erforderliche Berechtigungen, um die erforderlichen Berechtigungen anzuzeigen:

Sie können diese Berechtigungen auch mit benutzerdefinierten Rollen oder anderen vordefinierten Rollen erhalten.

Benutzerdefinierte Einschränkung erstellen

Eine benutzerdefinierte Beschränkung wird in einer YAML-Datei durch die Ressourcen, Methoden, Bedingungen und Aktionen definiert, die von dem Dienst unterstützt werden, für den Sie die Organisationsrichtlinie erzwingen. Bedingungen für Ihre benutzerdefinierten Beschränkungen werden mithilfe der Common Expression Language (CEL) definiert. Weitere Informationen zum Erstellen von Bedingungen in benutzerdefinierten Beschränkungen mit CEL finden Sie im Abschnitt CEL unter Benutzerdefinierte Beschränkungen erstellen und verwalten.

Zum Erstellen einer benutzerdefinierten Beschränkung erstellen Sie eine YAML-Datei im folgenden Format:

name: organizations/ORGANIZATION_ID/customConstraints/CONSTRAINT_NAME resourceTypes: - RESOURCE_NAME methodTypes: - CREATE - UPDATE condition: "CONDITION" actionType: ACTION displayName: DISPLAY_NAME description: DESCRIPTION 

Ersetzen Sie Folgendes:

• ORGANIZATION_ID: Ihre Organisations-ID, z. B. 123456789.

• CONSTRAINT_NAME: Name, den Sie für Ihre neue benutzerdefinierte Beschränkung verwenden möchten. Eine benutzerdefinierte Beschränkung muss mit custom. beginnen und darf nur Großbuchstaben, Kleinbuchstaben oder Ziffern enthalten. Beispiel: custom.spannerDatabase. Die maximale Länge dieses Feldes beträgt 70 Zeichen.

• RESOURCE_NAME: Der vollständig qualifizierte Name der Ressource vonGoogle Cloud , die das Objekt und das Feld enthält, das Sie beschränken möchten. Beispiel: spanner.googleapis.com/Database

• CONDITION: eine CEL-Bedingung, die für eine Darstellung einer unterstützten Dienstressource geschrieben wird. Dieses Feld hat eine maximale Länge von 1.000 Zeichen. Weitere Informationen zu den verfügbaren Ressourcen, auf die Bedingungen geschrieben werden können, finden Sie unter Unterstützte Ressourcen. Beispiel: "resource.name.contains('denied-database-name')".

• ACTION: Aktion, die ausgeführt werden soll, wenn condition erfüllt ist. Mögliche Werte sind ALLOW und DENY.

• DISPLAY_NAME: Ein nutzerfreundlicher Name für die Beschränkung. Dieses Feld hat eine maximale Länge von 200 Zeichen.

• DESCRIPTION: Eine nutzerfreundliche Beschreibung der Beschränkung, die als Fehlermeldung angezeigt werden soll, wenn die Richtlinie verletzt wird. Dieses Feld hat eine maximale Länge von 2.000 Zeichen.

Weitere Informationen zum Erstellen einer benutzerdefinierten Beschränkung finden Sie unter Benutzerdefinierte Beschränkungen definieren.

Benutzerdefinierte Beschränkung einrichten

gcloud org-policies set-custom-constraint CONSTRAINT_PATH

gcloud org-policies list-custom-constraints --organization=ORGANIZATION_ID

Benutzerdefinierte Organisationsrichtlinie erzwingen

      name: projects/PROJECT_ID/policies/CONSTRAINT_NAME       spec:         rules:         - enforce: true     

    gcloud org-policies set-policy POLICY_PATH     

Benutzerdefinierte Organisationsrichtlinie testen

Im folgenden Beispiel werden eine benutzerdefinierte Einschränkung und eine Richtlinie erstellt, für die alle Datenbanken in einer bestimmten Organisation Namen haben müssen, die den String „denied-database-name“ nicht enthalten.

Bevor Sie beginnen, müssen Sie Folgendes wissen:

• Ihre Organisations-ID
• Eine Projekt-ID

Einschränkung erstellen

1. Speichern Sie die folgende Datei als databasecustomconstraint.yaml:

     name: organizations/ORGANIZATION_ID/customConstraints/custom.spannerDatabase   resourceTypes:   - spanner.googleapis.com/Database   methodTypes:   - CREATE   condition: "resource.name.contains('denied-database-name')"   actionType: DENY   displayName: spannerDatabaseConstraint   description: Database resource name contains "denied-database-name" 

   Dies definiert eine Einschränkung, bei der für jede neue Datenbank der Vorgang abgelehnt wird, wenn der Datenbankname „denied-database-name“ enthält.

2. Wenden Sie die Einschränkung an:

     gcloud org-policies set-custom-constraint ~/databasecustomconstraint.yaml 

3. Prüfen Sie, ob die Einschränkung vorhanden ist:

     gcloud org-policies list-custom-constraints \   --organization=ORGANIZATION_ID 

   Die Ausgabe sieht etwa so aus:

     CUSTOM_CONSTRAINT       ACTION_TYPE  METHOD_TYPES  RESOURCE_TYPES                   DISPLAY_NAME   custom.spannerDatabase  DENY         CREATE        spanner.googleapis.com/Database  spannerDatabaseConstraint   ... 

   Richtlinie erstellen

4. Speichern Sie die folgende Datei als databaseorgpolicy.yaml:

     name: projects/PROJECT_ID/policies/custom.spannerDatabase   spec:     rules:     - enforce: true 

   Ersetzen Sie PROJECT_ID durch Ihre Projekt-ID.

5. Wenden Sie die Richtlinie an:

     gcloud org-policies set-policy ~/databaseorgpolicy.yaml 

6. Prüfen Sie, ob die Richtlinie vorhanden ist:

     gcloud org-policies list --project=PROJECT_ID 

   Die Ausgabe sieht etwa so aus:

     CONSTRAINT              LIST_POLICY  BOOLEAN_POLICY  ETAG   custom.spannerDatabase  -            SET             COCsm5QGENiXi2E= 

   Warten Sie nach dem Anwenden der Richtlinie etwa zwei Minuten, bis Google Cloud die Richtlinie durchgesetzt hat.

   Richtlinie testen

   Versuchen Sie, im Projekt eine Spanner-Datenbank zu erstellen:

   gcloud spanner databases create denied-database-name100 \   --instance=INSTANCE_NAME \ 

   Die Ausgabe sieht so aus:

   PERMISSION_DENIED: Either caller is missing IAM permission spanner.databases.create on resource or the CreateDatabaseRequest.create_statement field is malformed and the database name could not be identified to verify Cloud IAM Conditions. 

   Von Spanner unterstützte Ressourcen

   In der folgenden Tabelle sind die Spanner-Ressourcen aufgeführt, auf die Sie in benutzerdefinierten Einschränkungen verweisen können.

   Ressource	Feld
   spanner.googleapis.com/Backup	resource.database
   	resource.expireTime
   	resource.name
   	resource.versionTime
   spanner.googleapis.com/Database	resource.enableDropProtection
   	resource.name
   spanner.googleapis.com/Instance	resource.autoscalingConfig.autoscalingLimits.maxNodes
   	resource.autoscalingConfig.autoscalingLimits.maxProcessingUnits
   	resource.autoscalingConfig.autoscalingLimits.minNodes
   	resource.autoscalingConfig.autoscalingLimits.minProcessingUnits
   	resource.autoscalingConfig.autoscalingTargets.highPriorityCpuUtilizationPercent
   	resource.autoscalingConfig.autoscalingTargets.storageUtilizationPercent
   	resource.config
   	resource.displayName
   	resource.freeInstanceMetadata.expireBehavior
   	resource.instanceType
   	resource.name
   	resource.nodeCount
   	resource.processingUnits
   spanner.googleapis.com/InstanceConfig	resource.baseConfig
   	resource.displayName
   	resource.leaderOptions
   	resource.name
   	resource.replicas.defaultLeaderLocation
   	resource.replicas.location
   	resource.replicas.type

   Nächste Schritte

   • Weitere Informationen zum Organisationsrichtliniendienst.
   • Organisationsrichtlinien erstellen und verwalten.
   • Eine vollständige Liste der vordefinierten Beschränkungen für Organisationsrichtlinien finden Sie hier.