Menggunakan kebijakan organisasi standar

Untuk menerapkan persyaratan enkripsi di seluruh organisasi pada cluster dan cadangan AlloyDB untuk PostgreSQL, Anda dapat menerapkan batasan kebijakan organisasi yang telah ditetapkan di level project, folder, atau organisasi.

Kebijakan organisasi kunci enkripsi yang dikelola pelanggan (CMEK)

Anda dapat menggunakan kebijakan organisasi CMEK untuk mengontrol setelan CMEK pada cluster dan cadangan AlloyDB Anda. Kebijakan ini memungkinkan Anda mengontrol kunci Cloud Key Management Service (Cloud KMS) yang Anda gunakan untuk melindungi data Anda.

AlloyDB mendukung dua batasan kebijakan organisasi yang membantu menerapkan perlindungan CMEK di seluruh organisasi:

  • constraints/gcp.restrictNonCmekServices: memerlukan perlindungan CMEK untuk layanan alloydb.googleapis.com. Saat Anda menambahkan batasan ini dan menambahkan alloydb.googleapis.com ke daftar kebijakan layanan Deny, AlloyDB akan menolak pembuatan cluster atau cadangan baru kecuali jika diaktifkan dengan CMEK.

  • constraints/gcp.restrictCmekCryptoKeyProjects: membatasi CryptoKey Cloud KMS yang dapat Anda gunakan untuk perlindungan CMEK di cluster dan cadangan AlloyDB. Dengan batasan ini, saat AlloyDB membuat cluster baru atau cadangan dengan CMEK, CryptoKey harus berasal dari project, folder, atau organisasi yang diizinkan.

Batasan ini hanya diterapkan pada cluster dan cadangan AlloyDB yang baru dibuat.

Untuk mengetahui informasi ringkasan selengkapnya, lihat kebijakan organisasi CMEK. Untuk informasi tentang batasan kebijakan organisasi CMEK, lihat Batasan kebijakan organisasi.

Sebelum memulai

  1. Login ke akun Google Cloud Anda. Jika Anda baru menggunakan Google Cloud, buat akun untuk mengevaluasi performa produk kami dalam skenario dunia nyata. Pelanggan baru juga mendapatkan kredit gratis senilai $300 untuk menjalankan, menguji, dan men-deploy workload.

  2. In the Google Cloud console, on the project selector page, select or create a Google Cloud project.

    Roles required to select or create a project

    • Select a project: Selecting a project doesn't require a specific IAM role—you can select any project that you've been granted a role on.
    • Create a project: To create a project, you need the Project Creator role (roles/resourcemanager.projectCreator), which contains the resourcemanager.projects.create permission. Learn how to grant roles.

    Go to project selector

  3. Verify that billing is enabled for your Google Cloud project.

  4. Install the Google Cloud CLI.

  5. If you're using an external identity provider (IdP), you must first sign in to the gcloud CLI with your federated identity.

  6. To initialize the gcloud CLI, run the following command: 

    gcloud init

  7. In the Google Cloud console, on the project selector page, select or create a Google Cloud project.

    Roles required to select or create a project

    • Select a project: Selecting a project doesn't require a specific IAM role—you can select any project that you've been granted a role on.
    • Create a project: To create a project, you need the Project Creator role (roles/resourcemanager.projectCreator), which contains the resourcemanager.projects.create permission. Learn how to grant roles.

    Go to project selector

  8. Verify that billing is enabled for your Google Cloud project.

  9. Install the Google Cloud CLI.

  10. If you're using an external identity provider (IdP), you must first sign in to the gcloud CLI with your federated identity.

  11. To initialize the gcloud CLI, run the following command: 

    gcloud init
  12. Tambahkan peran Administrator Kebijakan Organisasi (roles/orgpolicy.policyAdmin) ke akun pengguna atau layanan Anda dari halaman IAM & Admin.

    Buka halaman akun IAM

Menambahkan kebijakan organisasi CMEK

Untuk menambahkan kebijakan organisasi CMEK, ikuti langkah-langkah berikut:

  1. Buka halaman Kebijakan organisasi.

    Buka halaman Kebijakan organisasi

  2. Klik drop-down di panel menu konsol Google Cloud , lalu pilih project, folder, atau organisasi yang memerlukan kebijakan organisasi. Halaman Organization policies menampilkan daftar batasan kebijakan organisasi yang tersedia.

  3. Untuk menetapkan constraints/gcp.restrictNonCmekServices, ikuti langkah-langkah berikut:

    1. Filter batasan menggunakan ID: constraints/gcp.restrictNonCmekServices atau Name: Restrict which services may create resources without CMEK.
    2. Klik Name batasan.
    3. Klik Edit.
    4. Klik Sesuaikan.
    5. Klik Tambahkan Aturan.
    6. Di bagian Nilai kebijakan, klik Kustom.
    7. Di bagian Jenis kebijakan, pilih Tolak.
    8. Di bagian Custom values, masukkan alloydb.googleapis.com. Konfigurasi ini menerapkan CMEK saat membuat cluster dan cadangan AlloyDB.

  4. Untuk menetapkan constraints/gcp.restrictCmekCryptoKeyProjects, ikuti langkah-langkah berikut:

    1. Filter batasan ID: constraints/gcp.restrictCmekCryptoKeyProjects atau Name: Restrict which projects may supply KMS CryptoKeys for CMEK.
    2. Klik Name batasan.
    3. Klik Edit.
    4. Klik Sesuaikan.
    5. Klik Tambahkan Aturan.
    6. Di bagian Nilai kebijakan, klik Kustom.
    7. Di bagian Jenis kebijakan, pilih Izinkan.

    8. Di bagian Nilai kustom, masukkan resource menggunakan format berikut: under:organizations/ORGANIZATION_ID, under:folders/FOLDER_ID, atau projects/PROJECT_ID.

      Konfigurasi ini membatasi cluster dan cadangan AlloyDB Anda untuk hanya menggunakan kunci Cloud KMS dari project, folder, atau organisasi yang diizinkan.

  5. Klik Done, lalu klik Save.

Langkah berikutnya