Descripción general de las políticas de la organización de AlloyDB

Para aplicar restricciones de seguridad y administración coherentes sobre cómo los usuarios configuran los clústeres, las instancias y las copias de seguridad de AlloyDB para PostgreSQL en tu organización, puedes configurar políticas de la organización.

Los proyectos, las carpetas y las organizaciones son recursos de contenedor organizados en una jerarquía de recursos superior-secundario. Una organización es el nodo raíz en esa jerarquía. Para obtener más información, consulta Jerarquía de recursos.

Las políticas de la organización contienen reglas, llamadas restricciones, que el administrador de la organización coloca en un proyecto, una carpeta o una organización. Las restricciones aplican una política en todos los clústeres y las copias de seguridad. Por ejemplo, si intentas crear un clúster o una copia de seguridad en una entidad que tiene una política de la organización, la restricción ejecuta una verificación para comprobar que la configuración del clúster o de la copia de seguridad cumpla con los requisitos de la restricción. Si la verificación falla, AlloyDB no crea el recurso de copia de seguridad ni el clúster.

A medida que agregas proyectos a una organización o carpeta que usa una política de la organización, los proyectos heredan las restricciones de esa política.

Para obtener más información sobre las políticas de la organización, consulta Introducción al servicio de políticas de la organización, Restricciones y Información sobre la evaluación de jerarquías.

Las siguientes políticas de la organización son específicas de AlloyDB:

Políticas de la organización predefinidas

Para comenzar, puedes usar la configuración de claves de encriptación administradas por el cliente (CMEK) en los clústeres y las copias de seguridad de AlloyDB. Para obtener más detalles, consulta Usa políticas de la organización predefinidas. Para obtener un control detallado y personalizable sobre otros parámetros de configuración compatibles, usa restricciones personalizadas. Para obtener más información, consulta Usa políticas de la organización personalizadas.

Políticas de la organización relativas a claves de encriptación administradas por el cliente (CMEK)

AlloyDB admite las siguientes restricciones de las políticas de la organización:

  • constraints/gcp.restrictNonCmekServices: requiere protección de CMEK para la API de alloydb.googleapis.com. Cuando agregas esta restricción y alloydb.googleapis.com a la lista de servicios de la política Deny, AlloyDB se niega a crear un clúster o un recurso de copia de seguridad nuevos, a menos que estén habilitados con CMEK.

  • constraints/gcp.restrictCmekCryptoKeyProjects: Limita qué CryptoKeys de Cloud Key Management Service (Cloud KMS) se usarán para la protección de CMEK en copias de seguridad y clústeres de AlloyDB. Cuando AlloyDB crea un clúster o una copia de seguridad nuevos con CMEK y esta restricción, la CryptoKey debe provenir de un proyecto, una carpeta o una organización permitidos.

Estas restricciones ayudan a aplicar la protección de CMEK en una organización y solo se aplican a las copias de seguridad y los clústeres de AlloyDB recién creados. Para obtener más información, consulta Políticas de la organización de CMEK y Restricciones de las políticas de la organización.

Políticas de la organización personalizadas

Para obtener un control detallado y personalizable sobre la configuración, puedes crear restricciones personalizadas y usarlas en una política personalizada de la organización. Usa políticas personalizadas de la organización para mejorar la seguridad, el cumplimiento y la administración.

Para obtener información sobre cómo crear políticas de la organización personalizadas, consulta Usa políticas de la organización personalizadas. También puedes ver una lista de restricciones y operaciones personalizadas compatibles.

Reglas de aplicación de políticas de la organización

AlloyDB aplica la política de la organización para las siguientes operaciones:

  • Creación de una instancia

  • Actualización de instancias

  • Creación del clúster

  • Actualización del clúster

  • Creación de copias de seguridad

Al igual que todas las restricciones de políticas de la organización, los cambios de política no se aplican de forma retroactiva a los clústeres y las copias de seguridad existentes. A continuación, se incluyen ejemplos:

  • Una política nueva no afecta a las instancias, los clústeres ni las copias de seguridad existentes.
  • A menos que un usuario cambie la configuración de la instancia, el clúster o la copia de seguridad de un estado de cumplimiento a uno de no cumplimiento con la consola de Google Cloud , Google Cloud CLI o RPC, la configuración de una instancia, un clúster o una copia de seguridad existente sigue siendo válida.
  • Una actualización de mantenimiento programada no genera la aplicación de una política, ya que el mantenimiento no cambia la configuración de las instancias, los clústeres ni las copias de seguridad.

¿Qué sigue?