Usar políticas predefinidas da organização

Para aplicar requisitos de criptografia em toda a organização em clusters e backups do AlloyDB para PostgreSQL, aplique restrições de política da organização predefinidas no nível do projeto, da pasta ou da organização.

Política da organização para chaves de criptografia gerenciadas pelo cliente (CMEK, na sigla em inglês)

É possível usar a política da organização de CMEK para controlar as configurações de CMEK dos clusters e backups do AlloyDB. Essa política permite controlar as chaves do Cloud Key Management Service (Cloud KMS) que você usa para proteger seus dados.

O AlloyDB é compatível com duas restrições de política da organização que ajudam a aplicar a proteção CMEK em uma organização:

  • constraints/gcp.restrictNonCmekServices: requer proteção com CMEK para o serviço alloydb.googleapis.com. Quando você adiciona essa restrição e adiciona alloydb.googleapis.com à lista de serviços da política Deny, o AlloyDB se recusa a criar um novo cluster ou backup, a menos que eles estejam ativados com CMEK.

  • constraints/gcp.restrictCmekCryptoKeyProjects: limita quais CryptoKeys do Cloud KMS podem ser usadas para proteção de CMEK em clusters e backups do AlloyDB. Com essa restrição, quando o AlloyDB cria um novo cluster ou um backup com CMEK, a CryptoKey precisa vir de um projeto, uma pasta ou uma organização permitida.

Essas restrições são aplicadas apenas em clusters e backups recém-criados do AlloyDB.

Para mais informações sobre a visão geral, consulte Políticas da organização CMEK. Para informações sobre restrições da política da organização CMEK, consulte Restrições da política da organização.

Antes de começar

  1. Faça login na sua conta do Google Cloud . Se você começou a usar o Google Cloudagora, crie uma conta para avaliar o desempenho dos nossos produtos em situações reais. Clientes novos também recebem US $300 em créditos para executar, testar e implantar cargas de trabalho sem custos financeiros.

  2. In the Google Cloud console, on the project selector page, select or create a Google Cloud project.

    Roles required to select or create a project

    • Select a project: Selecting a project doesn't require a specific IAM role—you can select any project that you've been granted a role on.
    • Create a project: To create a project, you need the Project Creator role (roles/resourcemanager.projectCreator), which contains the resourcemanager.projects.create permission. Learn how to grant roles.

    Go to project selector

  3. Verify that billing is enabled for your Google Cloud project.

  4. Install the Google Cloud CLI.

  5. If you're using an external identity provider (IdP), you must first sign in to the gcloud CLI with your federated identity.

  6. To initialize the gcloud CLI, run the following command: 

    gcloud init

  7. In the Google Cloud console, on the project selector page, select or create a Google Cloud project.

    Roles required to select or create a project

    • Select a project: Selecting a project doesn't require a specific IAM role—you can select any project that you've been granted a role on.
    • Create a project: To create a project, you need the Project Creator role (roles/resourcemanager.projectCreator), which contains the resourcemanager.projects.create permission. Learn how to grant roles.

    Go to project selector

  8. Verify that billing is enabled for your Google Cloud project.

  9. Install the Google Cloud CLI.

  10. If you're using an external identity provider (IdP), you must first sign in to the gcloud CLI with your federated identity.

  11. To initialize the gcloud CLI, run the following command: 

    gcloud init
  12. Adicione o papel Administrador da política da organização (roles/orgpolicy.policyAdmin) à sua conta de usuário ou de serviço da página IAM e administrador.

    Acessar a página de contas do IAM

Adicionar a política da organização de CMEK

Para adicionar uma política da organização para CMEK, siga estas etapas:

  1. Acesse a página Políticas da organização.

    Acessar a página "Políticas da organização"

  2. Clique no menu suspenso na barra de menus do console do Google Cloud e selecione o projeto, a pasta ou a organização que exige a política da organização. A página Políticas da organização exibe uma lista das restrições de políticas da organização disponíveis.

  3. Para definir constraints/gcp.restrictNonCmekServices, siga estas etapas:

    1. Filtre a restrição usando ID: constraints/gcp.restrictNonCmekServices ou Name: Restrict which services may create resources without CMEK.
    2. Clique no Nome da restrição.
    3. Clique em Editar.
    4. Clique em Personalizar.
    5. Clique em Adicionar regra.
    6. Em Valores da política, clique em Personalizado.
    7. Em Tipos de política, selecione Negar.
    8. Em Valores personalizados, digite alloydb.googleapis.com. Essa configuração aplica a CMEK ao criar clusters e backups do AlloyDB.

  4. Para definir constraints/gcp.restrictCmekCryptoKeyProjects, siga estas etapas:

    1. Filtre pela restrição ID: constraints/gcp.restrictCmekCryptoKeyProjects ou Name: Restrict which projects may supply KMS CryptoKeys for CMEK.
    2. Clique no Nome da restrição.
    3. Clique em Editar.
    4. Clique em Personalizar.
    5. Clique em Adicionar regra.
    6. Em Valores da política, clique em Personalizado.
    7. Em Tipos de política, selecione Permitir.

    8. Em Valores personalizados, digite o recurso usando o seguinte formato: under:organizations/ORGANIZATION_ID, under:folders/FOLDER_ID ou projects/PROJECT_ID.

      Essa configuração restringe os clusters e backups do AlloyDB ao uso de chaves do Cloud KMS apenas do projeto, da pasta ou da organização permitidos.

  5. Clique em Concluído e depois em Salvar.

A seguir