Présentation des règles d'administration AlloyDB

Pour appliquer des restrictions de sécurité et de gouvernance cohérentes sur la façon dont les utilisateurs configurent les clusters, les instances et les sauvegardes AlloyDB pour PostgreSQL dans votre organisation, vous pouvez configurer des règles d'administration'administration.

Les projets, les dossiers et les organisations sont des ressources de conteneur organisées selon une hiérarchie de ressources parent-enfant. Une organisation est le nœud racine de cette hiérarchie. Pour en savoir plus, consultez Hiérarchie des ressources.

Les règles d'administration contiennent des règles, appelées contraintes, que l'administrateur de l'organisation applique à un projet, un dossier ou une organisation. Les contraintes appliquent une règle à l'ensemble des clusters et des sauvegardes. Par exemple, si vous essayez de créer un cluster ou une sauvegarde dans une entité dotée d'une règle d'administration, la contrainte exécute une vérification pour s'assurer que la configuration du cluster ou de la sauvegarde respecte les exigences de la contrainte. Si la vérification échoue, AlloyDB ne crée pas le cluster ni la ressource de sauvegarde.

Lorsque vous ajoutez des projets à une organisation ou un dossier qui utilise une règle d'administration, les projets héritent des contraintes de cette règle.

Pour en savoir plus sur les règles d'administration, consultez les sections concernant la présentation du service de règles d'administration, les contraintes et l'évaluation hiérarchique.

Les règles d'administration suivantes sont spécifiques à AlloyDB :

Règles d'administration prédéfinies

Pour commencer, vous pouvez utiliser les paramètres des clés de chiffrement gérées par le client (CMEK) sur les clusters et les sauvegardes AlloyDB. Pour en savoir plus, consultez Utiliser des règles d'administration prédéfinies. Pour un contrôle plus précis et personnalisable des autres paramètres compatibles, utilisez des contraintes personnalisées. Pour en savoir plus, consultez Utiliser des règles d'administration personnalisées.

Règles d'administration des clés de chiffrement gérées par le client (CMEK)

AlloyDB est compatible avec les contraintes de règle d'administration suivantes :

  • constraints/gcp.restrictNonCmekServices : nécessite une protection CMEK pour l'API alloydb.googleapis.com. Lorsque vous ajoutez cette contrainte et alloydb.googleapis.com à la liste des services de la règle Deny, AlloyDB refuse de créer un cluster ou une ressource de sauvegarde, sauf si le nouveau cluster ou la nouvelle ressource de sauvegarde est activé avec CMEK.

  • constraints/gcp.restrictCmekCryptoKeyProjects : limite les CryptoKeys Cloud Key Management Service (Cloud KMS) à utiliser pour la protection CMEK dans les clusters et les sauvegardes AlloyDB. Lorsque AlloyDB crée un cluster ou une sauvegarde à l'aide d'une CMEK et de cette contrainte, la clé CryptoKey doit provenir d'un projet, d'un dossier ou d'une organisation autorisée.

Ces contraintes permettent d'appliquer la protection CMEK dans l'ensemble d'une organisation. Elles ne sont appliquées qu'aux clusters et sauvegardes AlloyDB nouvellement créés. Pour en savoir plus, consultez Règles d'administration CMEK et Contraintes liées aux règles d'administration.

Règles d'administration personnalisées

Pour un contrôle précis et personnalisable des paramètres, vous pouvez créer des contraintes personnalisées et les utiliser dans une règle d'administration personnalisée. Utilisez des règles d'administration personnalisées pour améliorer votre sécurité, votre conformité et votre gouvernance.

Pour savoir comment créer des règles d'administration personnalisées, consultez Utiliser des règles d'administration personnalisées. Vous pouvez également afficher la liste des contraintes et opérations personnalisées compatibles.

Règles d'application des règles d'administration

AlloyDB applique la règle d'administration pour les opérations suivantes :

  • Création d'une instance

  • Mise à jour de l'instance

  • Création du cluster

  • Mise à jour du cluster

  • Créer une sauvegarde

Comme pour toutes les contraintes des règles d'administration, les modifications apportées aux règles ne s'appliquent pas rétroactivement aux clusters et sauvegardes existants. Voici des exemples :

  • Une nouvelle règle n'a aucun effet sur les instances, clusters ou sauvegardes existants.
  • Sauf si un utilisateur modifie la configuration de l'instance, du cluster ou de la sauvegarde pour passer d'un état de conformité à un état de non-conformité à l'aide de la console Google Cloud , de la Google Cloud CLI ou de RPC, une configuration d'instance, de cluster ou de sauvegarde existante reste valide.
  • Une mise à jour de maintenance planifiée n'entraîne pas l'application des règles, car la maintenance ne modifie pas la configuration des instances, des clusters ou des sauvegardes.

Étapes suivantes