AlloyDB-Organisationsrichtlinien – Übersicht

Wenn Sie einheitliche Sicherheits- und Governance-Einschränkungen für die Konfiguration von AlloyDB for PostgreSQL-Clustern, ‑Instanzen und ‑Sicherungen in Ihrer Organisation erzwingen möchten, können Sie Organisationsrichtlinien konfigurieren.

Projekte, Ordner und Organisationen sind Containerressourcen, die in einer übergeordneten/untergeordneten Ressourcenhierarchie organisiert sind. Eine Organisation ist der Stammknoten in dieser Hierarchie. Weitere Informationen finden Sie unter Ressourcenhierarchie.

Organisationsrichtlinien enthalten Regeln, die als Einschränkungen bezeichnet werden und die der Administrator der Organisation für ein Projekt, einen Ordner oder eine Organisation festlegt. Durch Einschränkungen wird eine Richtlinie für alle Cluster und Sicherungen erzwungen. Wenn Sie beispielsweise versuchen, einen Cluster oder ein Backup in einer Entität zu erstellen, die einer Organisationsrichtlinie unterliegt, wird geprüft, ob die Cluster- oder Backup-Konfiguration die Anforderungen der Einschränkung erfüllt. Wenn die Prüfung fehlschlägt, wird die Cluster- oder Sicherungsressource von AlloyDB nicht erstellt.

Wenn Sie einer Organisation oder einem Ordner, der eine Organisationsrichtlinie verwendet, Projekte hinzufügen, übernehmen die Projekte die Einschränkungen dieser Richtlinie.

Weitere Informationen zu Organisationsrichtlinien finden Sie unter Einführung in den Organisationsrichtliniendienst, Einschränkungen und Informationen zu Evaluierungen der Hierarchie.

Die folgenden Organisationsrichtlinien gelten speziell für AlloyDB:

Vordefinierte Organisationsrichtlinien

Zu Beginn können Sie die Einstellungen für kundenverwaltete Verschlüsselungsschlüssel (CMEK) für AlloyDB-Cluster und -Sicherungen verwenden. Weitere Informationen finden Sie unter Vordefinierte Organisationsrichtlinien verwenden. Wenn Sie eine detaillierte, anpassbare Kontrolle über andere unterstützte Einstellungen benötigen, verwenden Sie benutzerdefinierte Einschränkungen. Weitere Informationen finden Sie unter Benutzerdefinierte Organisationsrichtlinien verwenden.

Organisationsrichtlinien für kundenverwaltete Verschlüsselungsschlüssel (CMEK)

AlloyDB unterstützt die folgenden Einschränkungen für Organisationsrichtlinien:

  • constraints/gcp.restrictNonCmekServices: Erfordert CMEK-Schutz für die alloydb.googleapis.com API. Wenn Sie diese Einschränkung und alloydb.googleapis.com zur Richtlinienliste Deny der Dienste hinzufügen, erstellt AlloyDB keinen neuen Cluster oder keine neue Sicherungsressource, es sei denn, der neue Cluster oder die neue Sicherungsressource ist mit CMEK aktiviert.

  • constraints/gcp.restrictCmekCryptoKeyProjects: Schränkt ein, welche Cloud Key Management Service (Cloud KMS) CryptoKeys für den CMEK-Schutz in AlloyDB-Clustern und -Sicherungen verwendet werden sollen. Wenn AlloyDB einen neuen Cluster oder eine neue Sicherung mit CMEK und dieser Einschränkung erstellt, muss der CryptoKey aus einem zulässigen Projekt, Ordner oder einer Organisation stammen.

Diese Einschränkungen tragen dazu bei, den CMEK-Schutz in einer Organisation durchzusetzen. Sie werden nur für neu erstellte AlloyDB-Cluster und ‑Sicherungen erzwungen. Weitere Informationen finden Sie unter CMEK-Organisationsrichtlinien und Einschränkungen für Organisationsrichtlinien.

Benutzerdefinierte Organisationsrichtlinien

Wenn Sie eine detaillierte, anpassbare Steuerung der Einstellungen wünschen, können Sie benutzerdefinierte Einschränkungen erstellen und in einer benutzerdefinierten Organisationsrichtlinie verwenden. Verwenden Sie benutzerdefinierte Organisationsrichtlinien, um Sicherheit, Compliance und Governance zu verbessern.

Informationen zum Erstellen benutzerdefinierter Organisationsrichtlinien finden Sie unter Benutzerdefinierte Organisationsrichtlinien verwenden. Sie können sich auch eine Liste der unterstützten benutzerdefinierten Einschränkungen und Vorgänge ansehen.

Erzwingungsregeln für Organisationsrichtlinien

AlloyDB erzwingt die Organisationsrichtlinie für die folgenden Vorgänge:

  • Instanzerstellung

  • Instanzaktualisierung

  • Clustererstellung

  • Clusteraktualisierung

  • Sicherung erstellen

Wie alle Einschränkungen für Organisationsrichtlinien gelten Richtlinienänderungen nicht rückwirkend für vorhandene Cluster und Sicherungen. Hier einige Beispiele:

  • Eine neue Richtlinie hat keine Auswirkungen auf vorhandene Instanzen, Cluster oder Sicherungen.
  • Eine vorhandene Instanz-, Cluster- oder Sicherungskonfiguration bleibt gültig, es sei denn, ein Nutzer ändert die Instanz-, Cluster- oder Sicherungskonfiguration über die Google Cloud -Konsole, die Google Cloud CLI oder RPC von einem Compliance-Status in einen Nicht-Compliance-Status.
  • Ein geplantes Wartungsupdate führt nicht zu einer Richtlinienerzwingung, da durch die Wartung die Konfiguration der Instanzen, Cluster oder Sicherungen nicht geändert wird.

Nächste Schritte