Utilizzare le policy dell'organizzazione predefinite

Questa pagina descrive come aggiungere criteri dell'organizzazione predefiniti su cluster e backup AlloyDB per PostgreSQL, che ti consente di imporre limitazioni su AlloyDB a livello di progetto, cartella o organizzazione.

Policy dell'organizzazione per le chiavi di crittografia gestite dal cliente (CMEK)

Puoi utilizzare il criterio dell'organizzazione CMEK per controllare le impostazioni CMEK dei tuoi cluster e backup AlloyDB. Questa policy ti consente di controllare le chiavi Cloud KMS che utilizzi per proteggere i tuoi dati.

AlloyDB supporta due vincoli delle policy dell'organizzazione che contribuiscono a garantire la protezione CMEK in un'organizzazione:

  • constraints/gcp.restrictNonCmekServices: richiede la protezione CMEK per alloydb.googleapis.com. Quando aggiungi questo vincolo e alloydb.googleapis.com all'elenco dei servizi dei criteri Deny, AlloyDB si rifiuta di creare un nuovo cluster o un backup a meno che non siano abilitati con CMEK.
  • constraints/gcp.restrictCmekCryptoKeyProjects: limita le CryptoKey KMS che puoi utilizzare per la protezione CMEK nei cluster e nei backup AlloyDB. Con questo vincolo, quando AlloyDB crea un nuovo cluster o un backup con CMEK, la CryptoKey deve provenire da un progetto, una cartella o un'organizzazione consentiti.

Questi vincoli vengono applicati solo ai cluster e ai backup AlloyDB appena creati.

Per ulteriori informazioni generali, consulta Policy dell'organizzazione per le chiavi CMEK. Per informazioni sui vincoli delle policy dell'organizzazione CMEK, consulta Vincoli delle policy dell'organizzazione.

Prima di iniziare

  1. Accedi al tuo account Google Cloud . Se non conosci Google Cloud, crea un account per valutare le prestazioni dei nostri prodotti in scenari reali. I nuovi clienti ricevono anche 300 $di crediti senza costi per l'esecuzione, il test e il deployment dei carichi di lavoro.

  2. In the Google Cloud console, on the project selector page, select or create a Google Cloud project.

    Roles required to select or create a project

    • Select a project: Selecting a project doesn't require a specific IAM role—you can select any project that you've been granted a role on.
    • Create a project: To create a project, you need the Project Creator role (roles/resourcemanager.projectCreator), which contains the resourcemanager.projects.create permission. Learn how to grant roles.

    Go to project selector

  3. Verify that billing is enabled for your Google Cloud project.

  4. Install the Google Cloud CLI.

  5. If you're using an external identity provider (IdP), you must first sign in to the gcloud CLI with your federated identity.

  6. To initialize the gcloud CLI, run the following command: 

    gcloud init

  7. In the Google Cloud console, on the project selector page, select or create a Google Cloud project.

    Roles required to select or create a project

    • Select a project: Selecting a project doesn't require a specific IAM role—you can select any project that you've been granted a role on.
    • Create a project: To create a project, you need the Project Creator role (roles/resourcemanager.projectCreator), which contains the resourcemanager.projects.create permission. Learn how to grant roles.

    Go to project selector

  8. Verify that billing is enabled for your Google Cloud project.

  9. Install the Google Cloud CLI.

  10. If you're using an external identity provider (IdP), you must first sign in to the gcloud CLI with your federated identity.

  11. To initialize the gcloud CLI, run the following command: 

    gcloud init
  12. Aggiungi il ruolo Amministratore criteri dell'organizzazione (roles/orgpolicy.policyAdmin) al tuo utente o account di servizio dalla pagina IAM e amministrazione.

    Vai alla pagina Account IAM

Aggiungi la policy dell'organizzazione per le chiavi CMEK

Per aggiungere una policy dell'organizzazione CMEK:

  1. Vai alla pagina Policy dell'organizzazione.

    Vai alla pagina Policy dell'organizzazione

  2. Fai clic sul menu a discesa nella barra dei menu della console Google Cloud , poi seleziona il progetto, la cartella o l'organizzazione che richiede la policy dell'organizzazione. La pagina Policy dell'organizzazione mostra un elenco dei vincoli delle policy dell'organizzazione disponibili.

  3. Per impostare constraints/gcp.restrictNonCmekServices:

    1. Filtra il vincolo utilizzando ID: constraints/gcp.restrictNonCmekServices o Name: Restrict which services may create resources without CMEK.
    2. Fai clic sul nome del vincolo.
    3. Fai clic su Modifica.
    4. Fai clic su Personalizza.
    5. Fai clic su Aggiungi regola.
    6. Nella sezione Valori policy, fai clic su Personalizzato.
    7. In Tipi di policy, seleziona Nega.
    8. In Valori personalizzati, inserisci alloydb.googleapis.com. In questo modo, la CMEK viene applicata durante la creazione di cluster AlloyDB e backup.

  4. Per impostare constraints/gcp.restrictCmekCryptoKeyProjects:

    1. Filtra per il vincolo ID: constraints/gcp.restrictCmekCryptoKeyProjects o Name: Restrict which projects may supply KMS CryptoKeys for CMEK.
    2. Fai clic sul nome del vincolo.
    3. Fai clic su Modifica.
    4. Fai clic su Personalizza.
    5. Fai clic su Aggiungi regola.
    6. Nella sezione Valori policy, fai clic su Personalizzato.
    7. In Tipi di policy, seleziona Consenti.

    8. In Valori personalizzati, inserisci la risorsa utilizzando il seguente formato: under:organizations/ORGANIZATION_ID, under:folders/FOLDER_ID o projects/PROJECT_ID.

      In questo modo, i cluster e i backup AlloyDB utilizzano le chiavi Cloud KMS solo del progetto, della cartella o dell'organizzazione consentiti.

  5. Fai clic su Fine e poi su Salva.

Passaggi successivi