Utiliser des règles d'administration prédéfinies

Pour appliquer des exigences de chiffrement à l'échelle de l'organisation sur les clusters et les sauvegardes AlloyDB pour PostgreSQL, vous pouvez appliquer des contraintes de règles d'administration prédéfinies au niveau du projet, du dossier ou de l'organisation.

Règle d'administration des clés de chiffrement gérées par le client (CMEK)

Vous pouvez utiliser la règle d'administration CMEK pour contrôler les paramètres CMEK de vos clusters et sauvegardes AlloyDB. Cette règle vous permet de contrôler les clés Cloud Key Management Service (Cloud KMS) que vous utilisez pour protéger vos données.

AlloyDB accepte deux contraintes de règle d'administration qui contribuent à assurer la protection CMEK dans l'ensemble d'une organisation :

  • constraints/gcp.restrictNonCmekServices : nécessite une protection CMEK pour le service alloydb.googleapis.com. Lorsque vous ajoutez cette contrainte et que vous ajoutez alloydb.googleapis.com à la liste des services de la règle Deny, AlloyDB refuse de créer un cluster ou une sauvegarde, sauf si CMEK est activé.

  • constraints/gcp.restrictCmekCryptoKeyProjects : limite les CryptoKeys Cloud KMS que vous pouvez utiliser pour la protection CMEK dans les clusters et les sauvegardes AlloyDB. Avec cette contrainte, lorsque AlloyDB crée un cluster ou une sauvegarde avec CMEK, la CryptoKey doit provenir d'un projet, d'un dossier ou d'une organisation autorisée.

Ces contraintes ne sont appliquées qu'aux clusters et sauvegardes AlloyDB nouvellement créés.

Pour en savoir plus, consultez la page Règles d'administration CMEK. Pour en savoir plus sur les contraintes des règles d'administration CMEK, consultez la page Contraintes liées aux règles d'administration.

Avant de commencer

  1. Connectez-vous à votre compte Google Cloud . Si vous débutez sur Google Cloud, créez un compte pour évaluer les performances de nos produits en conditions réelles. Les nouveaux clients bénéficient également de 300 $ de crédits sans frais pour exécuter, tester et déployer des charges de travail.

  2. In the Google Cloud console, on the project selector page, select or create a Google Cloud project.

    Roles required to select or create a project

    • Select a project: Selecting a project doesn't require a specific IAM role—you can select any project that you've been granted a role on.
    • Create a project: To create a project, you need the Project Creator role (roles/resourcemanager.projectCreator), which contains the resourcemanager.projects.create permission. Learn how to grant roles.

    Go to project selector

  3. Verify that billing is enabled for your Google Cloud project.

  4. Install the Google Cloud CLI.

  5. If you're using an external identity provider (IdP), you must first sign in to the gcloud CLI with your federated identity.

  6. To initialize the gcloud CLI, run the following command: 

    gcloud init

  7. In the Google Cloud console, on the project selector page, select or create a Google Cloud project.

    Roles required to select or create a project

    • Select a project: Selecting a project doesn't require a specific IAM role—you can select any project that you've been granted a role on.
    • Create a project: To create a project, you need the Project Creator role (roles/resourcemanager.projectCreator), which contains the resourcemanager.projects.create permission. Learn how to grant roles.

    Go to project selector

  8. Verify that billing is enabled for your Google Cloud project.

  9. Install the Google Cloud CLI.

  10. If you're using an external identity provider (IdP), you must first sign in to the gcloud CLI with your federated identity.

  11. To initialize the gcloud CLI, run the following command: 

    gcloud init
  12. Ajoutez le rôle Administrateur des règles d'administration (roles/orgpolicy.policyAdmin) à votre compte utilisateur ou de service depuis la page IAM et admin.

    Accéder à la page des comptes IAM

Ajouter la règle d'administration CMEK

Pour ajouter une règle d'administration CMEK, procédez comme suit :

  1. Accédez à la page Règles d'administration.

    Accéder à la page "Règles d'administration"

  2. Cliquez sur le menu déroulant dans la barre de menu de la console Google Cloud , puis sélectionnez le projet, le dossier ou l'organisation qui requiert la règle d'administration. La page Règles d'administration affiche une liste des contraintes de règles d'administration qui sont disponibles.

  3. Pour définir constraints/gcp.restrictNonCmekServices, procédez comme suit :

    1. Filtrez la liste sur la contrainte à l'aide de ID : constraints/gcp.restrictNonCmekServices ou de Name : Restrict which services may create resources without CMEK.
    2. Cliquez sur le nom de la contrainte.
    3. Cliquez sur Modifier.
    4. Cliquez sur Personnaliser.
    5. Cliquez sur Add rule (Ajouter une règle).
    6. Sous Valeurs de règles, cliquez sur Personnalisé.
    7. Sous Types de règles, sélectionnez Refuser.
    8. Sous Valeurs personnalisées, saisissez alloydb.googleapis.com. Cette configuration applique la CMEK lors de la création de clusters et de sauvegardes AlloyDB.

  4. Pour définir constraints/gcp.restrictCmekCryptoKeyProjects, procédez comme suit :

    1. Filtrez la liste sur la contrainte ID : constraints/gcp.restrictCmekCryptoKeyProjects ou Name : Restrict which projects may supply KMS CryptoKeys for CMEK.
    2. Cliquez sur le nom de la contrainte.
    3. Cliquez sur Modifier.
    4. Cliquez sur Personnaliser.
    5. Cliquez sur Add rule (Ajouter une règle).
    6. Sous Valeurs de règles, cliquez sur Personnalisé.
    7. Sous Types de règles, sélectionnez Autoriser.

    8. Sous Valeurs personnalisées, saisissez la ressource au format suivant : under:organizations/ORGANIZATION_ID, under:folders/FOLDER_ID ou projects/PROJECT_ID.

      Cette configuration limite vos clusters et sauvegardes AlloyDB à l'utilisation de clés Cloud KMS provenant uniquement du projet, du dossier ou de l'organisation autorisés.

  5. Cliquez sur OK, puis sur Enregistrer.

Étapes suivantes