Cloud Storage-Ressourcen mit benutzerdefinierten Einschränkungen verwalten

Auf dieser Seite erfahren Sie, wie Sie benutzerdefinierte Beschränkungen des Organisationsrichtliniendienstes verwenden, um bestimmte Vorgänge für die folgenden Google Cloud -Ressourcen einzuschränken:

• storage.googleapis.com/Bucket

Weitere Informationen zu Organisationsrichtlinien finden Sie unter Benutzerdefinierte Organisationsrichtlinien.

Informationen zu Organisationsrichtlinien und Beschränkungen

Mit dem Organisationsrichtliniendienst von Google Cloud können Sie die Ressourcen Ihrer Organisation zentral und programmatisch steuern. Als Administrator für Organisationsrichtlinien können Sie eine Organisationsrichtlinie definieren, also eine Reihe von Beschränkungen, die für Ressourcen vonGoogle Cloud und nachfolgende Elemente dieser Ressourcen in der Ressourcenhierarchie vonGoogle Cloud gelten. Sie können Organisationsrichtlinien auf Organisations-, Ordner- oder Projektebene erzwingen.

Die Organisationsrichtlinie bietet integrierte verwaltete Beschränkungen für verschiedene Dienste von Google Cloud . Wenn Sie jedoch eine detailliertere, anpassbare Steuerung der spezifischen Felder wünschen, die in Ihren Organisationsrichtlinien beschränkt werden, können Sie auch benutzerdefinierte Beschränkungen erstellen und diese benutzerdefinierten Beschränkungen in einer Organisationsrichtlinie verwenden.

Übernahme von Richtlinien

Standardmäßig werden Organisationsrichtlinien von den Nachfolgerelementen der Ressourcen übernommen, für die Sie die Richtlinie erzwingen. Wenn Sie beispielsweise eine Richtlinie für einen Ordner erzwingen, erzwingt Google Cloud die Richtlinie für alle Projekte in dem Ordner. Weitere Informationen zu diesem Verhalten und zu dessen Änderung finden Sie unter Regeln für die Bewertung der Hierarchie.

Beschränkungen

• Bucket-Labels sollten nicht in benutzerdefinierten Einschränkungsbedingungen verwendet werden. Verwenden Sie stattdessen Tags, die nur von Personen mit den erforderlichen IAM-Rollen (Identity and Access Management, Identitäts- und Zugriffsverwaltung) festgelegt werden können und strenger kontrolliert werden als Labels.

• Neu erzwungene benutzerdefinierte Einschränkungen gelten nicht für vorhandene Ressourcen. Vorhandene Ressourcen müssen aktualisiert werden, damit die Einschränkung angewendet wird.

  Wenn Sie vorhandene Ressourcen finden möchten, die aktualisiert werden müssen, können Sie eine Organisationsrichtlinie für den Probelauf erzwingen.

• Benutzerdefinierte Einschränkungen können nicht verwendet werden, um ACLs oder IAM-Richtlinien für Objekte oder Buckets einzuschränken.

Hinweise

Sign in to your Google Cloud account. If you're new to Google Cloud, create an account to evaluate how our products perform in real-world scenarios. New customers also get $300 in free credits to run, test, and deploy workloads.

In the Google Cloud console, on the project selector page, select or create a Google Cloud project.

Roles required to select or create a project

• Select a project: Selecting a project doesn't require a specific IAM role—you can select any project that you've been granted a role on.
• Create a project: To create a project, you need the Project Creator (roles/resourcemanager.projectCreator), which contains the resourcemanager.projects.create permission. Learn how to grant roles.

Go to project selector

Verify that billing is enabled for your Google Cloud project.

Install the Google Cloud CLI.

Wenn Sie einen externen Identitätsanbieter (IdP) verwenden, müssen Sie sich zuerst mit Ihrer föderierten Identität in der gcloud CLI anmelden.

Führen Sie folgenden Befehl aus, um die gcloud CLI zu initialisieren:

gcloud init

In the Google Cloud console, on the project selector page, select or create a Google Cloud project.

Roles required to select or create a project

• Select a project: Selecting a project doesn't require a specific IAM role—you can select any project that you've been granted a role on.
• Create a project: To create a project, you need the Project Creator (roles/resourcemanager.projectCreator), which contains the resourcemanager.projects.create permission. Learn how to grant roles.

Go to project selector

Verify that billing is enabled for your Google Cloud project.

Install the Google Cloud CLI.

Wenn Sie einen externen Identitätsanbieter (IdP) verwenden, müssen Sie sich zuerst mit Ihrer föderierten Identität in der gcloud CLI anmelden.

Führen Sie folgenden Befehl aus, um die gcloud CLI zu initialisieren:

gcloud init

1. Sie müssen Ihre Organisations-ID kennen.

Erforderliche Rollen

Bitten Sie Ihren Administrator, Ihnen die folgenden IAM-Rollen zuzuweisen, um die Berechtigungen zu erhalten, die Sie zur Verwaltung von Organisationsrichtlinien benötigen:

• Administrator für Organisationsrichtlinien (roles/orgpolicy.policyAdmin) für die Organisation
• Testen Sie die Beispiel-Organisationsrichtlinie auf dieser Seite, indem Sie einen Bucket erstellen: Storage-Administrator (roles/storage.admin) für das Projekt

Weitere Informationen zum Zuweisen von Rollen finden Sie unter Zugriff auf Projekte, Ordner und Organisationen verwalten.

Diese vordefinierten Rollen enthalten die Berechtigungen, die zum Verwalten von Organisationsrichtlinien erforderlich sind. Erweitern Sie den Abschnitt Erforderliche Berechtigungen, um die erforderlichen Berechtigungen anzuzeigen:

Sie können diese Berechtigungen auch mit benutzerdefinierten Rollen oder anderen vordefinierten Rollen erhalten.

Benutzerdefinierte Einschränkung erstellen

Eine benutzerdefinierte Beschränkung wird in einer YAML-Datei durch die Ressourcen, Methoden, Bedingungen und Aktionen definiert, die von dem Dienst unterstützt werden, für den Sie die Organisationsrichtlinie erzwingen. Bedingungen für Ihre benutzerdefinierten Beschränkungen werden mithilfe der Common Expression Language (CEL) definiert. Weitere Informationen zum Erstellen von Bedingungen in benutzerdefinierten Beschränkungen mit CEL finden Sie im Abschnitt CEL unter Benutzerdefinierte Beschränkungen erstellen und verwalten.

Zum Erstellen einer benutzerdefinierten Beschränkung erstellen Sie eine YAML-Datei im folgenden Format:

name: organizations/ORGANIZATION_ID/customConstraints/CONSTRAINT_NAME resourceTypes: - RESOURCE_NAME methodTypes: - CREATE - UPDATE condition: "CONDITION" actionType: ACTION displayName: DISPLAY_NAME description: DESCRIPTION 

Ersetzen Sie Folgendes:

• ORGANIZATION_ID: Ihre Organisations-ID, z. B. 123456789.

• CONSTRAINT_NAME: Name, den Sie für Ihre neue benutzerdefinierte Beschränkung verwenden möchten. Eine benutzerdefinierte Beschränkung muss mit custom. beginnen und darf nur Großbuchstaben, Kleinbuchstaben oder Ziffern enthalten. Beispiel: custom.bucketNamingRequirement. Die maximale Länge dieses Feldes beträgt 70 Zeichen.

• RESOURCE_NAME: Der vollständig qualifizierte Name der Ressource vonGoogle Cloud , die das Objekt und das Feld enthält, das Sie beschränken möchten. Beispiel: storage.googleapis.com/Bucket

• CONDITION: eine CEL-Bedingung, die für eine Darstellung einer unterstützten Dienstressource geschrieben wird. Dieses Feld hat eine maximale Länge von 1.000 Zeichen. Weitere Informationen zu den verfügbaren Ressourcen, auf die Bedingungen geschrieben werden können, finden Sie unter Unterstützte Ressourcen. Beispiel: "resource.name.matches('^[a-zA-Z]+$')".

• ACTION: Aktion, die ausgeführt werden soll, wenn condition erfüllt ist. Mögliche Werte sind ALLOW und DENY.

• DISPLAY_NAME: Ein nutzerfreundlicher Name für die Beschränkung. Dieses Feld hat eine maximale Länge von 200 Zeichen.

• DESCRIPTION: Eine nutzerfreundliche Beschreibung der Beschränkung, die als Fehlermeldung angezeigt werden soll, wenn die Richtlinie verletzt wird. Dieses Feld hat eine maximale Länge von 2.000 Zeichen.

Weitere Informationen zum Erstellen einer benutzerdefinierten Beschränkung finden Sie unter Benutzerdefinierte Beschränkungen definieren.

Benutzerdefinierte Beschränkung einrichten

gcloud org-policies set-custom-constraint CONSTRAINT_PATH

gcloud org-policies list-custom-constraints --organization=ORGANIZATION_ID

Benutzerdefinierte Organisationsrichtlinie erzwingen

      name: projects/PROJECT_ID/policies/CONSTRAINT_NAME       spec:         rules:         - enforce: true     

    gcloud org-policies set-policy POLICY_PATH     

Benutzerdefinierte Organisationsrichtlinie testen

Im folgenden Beispiel werden eine benutzerdefinierte Einschränkung und eine Richtlinie erstellt, bei der alle neu erstellten Buckets einen Namen haben müssen, der nur Buchstaben enthält. Sie können die Richtlinie testen, indem Sie versuchen, eine Aktion auszuführen, die durch die Richtlinie verhindert werden sollte.

Einschränkung erstellen

1. Speichern Sie die folgende Datei als constraint-bucket-names.yaml:

   name: organizations/ORGANIZATION_ID/customConstraints/custom.bucketNamingRequirement resource_types: storage.googleapis.com/Bucket method_types: - CREATE condition: "resource.name.matches('^[a-zA-Z]+$')" action_type: ALLOW display_name: Bucket names must match the specified regular expression description: Newly created buckets must have a name that matches the specified regular expression. Only letters are allowed in the bucket name. 

   Ersetzen Sie ORGANIZATION_ID durch Ihre Organisations-ID.

2. Wenden Sie die Einschränkung an:

   gcloud org-policies set-custom-constraint ~/constraint-bucket-names.yaml 

3. Prüfen Sie, ob die Einschränkung vorhanden ist:

   gcloud org-policies list-custom-constraints --organization=ORGANIZATION_ID 

   Die Ausgabe sieht etwa so aus:

   CUSTOM_CONSTRAINT                 ACTION_TYPE    METHOD_TYPES    RESOURCE_TYPES                  DISPLAY_NAME custom.bucketNamingRequirement    ALLOW          CREATE          storage.googleapis.com/Bucket   Bucket names must match the specified regular expression ... 

Richtlinie erstellen

1. Speichern Sie die folgende Datei als policy-bucket-names.yaml:

   name: projects/PROJECT_ID/policies/custom.bucketNamingRequirement spec:   rules:   - enforce: true 

   Ersetzen Sie PROJECT_ID durch Ihre Projekt-ID.

   In diesem Beispiel wird diese Einschränkung auf Projektebene erzwungen. Sie können diese Einschränkung aber auch auf Organisations- oder Ordnerebene festlegen.

2. Wenden Sie die Richtlinie an:

   gcloud org-policies set-policy ~/policy-bucket-names.yaml 

3. Prüfen Sie, ob die Richtlinie vorhanden ist:

   gcloud org-policies list --project=PROJECT_ID 

   Die Ausgabe sieht etwa so aus:

   CONSTRAINT                        LIST_POLICY    BOOLEAN_POLICY    ETAG custom.bucketNamingRequirement    -              SET               CIqktscGELiZn6cC- 

Warten Sie nach dem Anwenden der Richtlinie etwa zwei Minuten, bis Google Clouddie Richtlinie durchgesetzt hat.

Richtlinie testen

• Versuchen Sie, einen Bucket mit einem Namen zu erstellen, der ein Zeichen enthält, das kein Buchstabe ist:

  gcloud storage buckets create gs://example-bucket --location=BUCKET_LOCATION 

  Ersetzen Sie BUCKET_LOCATION durch den Speicherort des Buckets. Beispiel: US.

  Die Anfrage schlägt mit einem Fehler wie dem folgenden fehl:

  ERROR: (gcloud.storage.buckets.create) HTTPError 412: orgpolicy:projects/_/buckets/example-bucket violates customConstraints/custom.bucketNamingRequirement. Details: Newly created buckets must have a name that matches the specified regular expression. Only letters are allowed in the bucket name. 

Beispiele für benutzerdefinierte Organisationsrichtlinien für häufige Anwendungsfälle

In der folgenden Tabelle finden Sie Syntaxbeispiele für einige gängige benutzerdefinierte Beschränkungen. Eine Liste der vordefinierten Einschränkungen, die Sie mit Cloud Storage verwenden können, finden Sie unter Einschränkungen für Organisationsrichtlinien für Cloud Storage.

  name: organizations/ORGANIZATION_ID/customConstraints/custom.enforceBucketVersioning   method_types:   - CREATE   - UPDATE   resource_types: storage.googleapis.com/Bucket   condition: "resource.versioning.enabled == true"   action_type: ALLOW   display_name: Buckets must have Object Versioning enabled   description: Newly created buckets and newly updated buckets must have Object Versioning enabled.

  name: organizations/ORGANIZATION_ID/customConstraints/custom.bucketNamingRequirement   method_types:   - CREATE   resource_types: storage.googleapis.com/Bucket   condition: "resource.name.matches('^[a-zA-Z]+$')"   action_type: ALLOW   display_name: Bucket names must match the specified regular expression   description: Newly created buckets must have a name that matches the specified regular expression. Only letters are allowed in the bucket name.

  name: organizations/ORGANIZATION_ID/customConstraints/custom.prohibitBucketLock   method_types:   - CREATE   - UPDATE   resource_types: storage.googleapis.com/Bucket   condition: "resource.retentionPolicy.isLocked == true"   action_type: DENY   display_name: Prohibit the use of Bucket Lock   description: Newly created buckets and newly updated buckets cannot have Bucket Lock enabled.

  name: organizations/ORGANIZATION_ID/customConstraints/custom.prohibitObjectRetentionLock   method_types:   - CREATE   - UPDATE   resource_types: storage.googleapis.com/Bucket   condition: "resource.objectRetention.mode == 'Enabled'"   action_type: DENY   display_name: Objects cannot have retention configurations   description: Newly created buckets and newly updated buckets cannot have Object Retention Lock enabled.

  name: organizations/ORGANIZATION_ID/customConstraints/custom.locationRetentionPolicy   method_types:   - CREATE   - UPDATE   resource_types: storage.googleapis.com/Bucket   condition: "(resource.location.startsWith('US') || resource.location.startsWith('EU')) && resource.retentionPolicy.retentionPeriod != 86400"   action_type: DENY   display_name: All buckets in US and EU must have a retention policy of 86,400 seconds   description: Newly created buckets and newly updated buckets located in US and EU regions must have a retention policy of 86,400 seconds.

  name: organizations/ORGANIZATION_ID/customConstraints/custom.labels   method_types:   - CREATE   - UPDATE   resource_types: storage.googleapis.com/Bucket   condition: "'my_annotations.data.source' in resource.labels && resource.labels['my_annotations.data.source'] in ['SOURCE_IMAGES','SOURCE_TEXT','SOURCE_VIDEOS']"   action_type: ALLOW   display_name: Buckets must have a label classifying the contents of the bucket   description: Newly created buckets and newly updated buckets must have the label my_annotations.data.source with the SOURCE_IMAGES, SOURCE_TEXT, or SOURCE_VIDEOS key.

  name: organizations/ORGANIZATION_ID/customConstraints/custom.dualRegionUS   method_types:   - CREATE   - UPDATE   resource_types: storage.googleapis.com/Bucket   condition: "'US-EAST1' in resource.customPlacementConfig.dataLocations && 'US-EAST4' in resource.customPlacementConfig.dataLocations"   action_type: ALLOW   display_name: Buckets must be located in a dual-region   description: Newly created buckets and newly updated buckets must be located in a dual-region composed of the us-east1 and us-east4 regions.

  name: organizations/ORGANIZATION_ID/customConstraints/custom.disableLegacyStorageClass   method_types:   - CREATE   - UPDATE   resource_types: storage.googleapis.com/Bucket   condition: "resource.storageClass in ['STANDARD', 'NEARLINE', 'COLDLINE', 'ARCHIVE']"   action_type: ALLOW   display_name: Buckets cannot use legacy storage classes   description: Newly created buckets and newly updated buckets must use Standard storage, Nearline storage, Coldline storage, or Archive storage.

  name: organizations/ORGANIZATION_ID/customConstraints/custom.IpFilter   method_types:   - CREATE   resource_types: storage.googleapis.com/Bucket   condition: "!has(resource.ipFilter) || (resource.ipFilter.mode == 'Disabled' || resource.ipFilter.publicNetworkSource.allowedIpCidrRanges.size() > 0)"   action_type: DENY   display_name: Bucket IP filter rules must restrict all the public network   description: Newly created buckets must have IP filtering and IP filtering rules must restrict all public network resources. 

Bedingte Organisationsrichtlinien

Sie können eine benutzerdefinierte Organisationsrichtlinie mithilfe von Tags bedingt machen. Weitere Informationen finden Sie unter Organisationsrichtlinie mit Tags festlegen.

Unterstützte Cloud Storage-Ressourcen

In der folgenden Tabelle sind die Cloud Storage-Ressourcen aufgeführt, auf die Sie in benutzerdefinierten Einschränkungen verweisen können.

Wichtige Hinweise:

• Sie müssen Großbuchstaben verwenden, um die Werte für die folgenden Felder anzugeben:
  • resource.customPlacementConfig.dataLocations
  • resource.lifecycle.rule.action.storageClass
  • resource.location
  • resource.storageClass
• Das Feld resource.retentionPolicy.isLocked kann nur verwendet werden, um die Verwendung der Bucket-Sperre zu verbieten, nicht um sie zu erzwingen.

Nächste Schritte

• Weitere Informationen zum Organisationsrichtliniendienst.
• Organisationsrichtlinien erstellen und verwalten.
• Eine vollständige Liste der vordefinierten Beschränkungen für Organisationsrichtlinien finden Sie hier.