בדף הזה מוסבר על מדיניות הארגון ב-AlloyDB ל-PostgreSQL, שמשמשת את האדמינים בארגון כדי להגדיר הגבלות על האופן שבו משתמשים מגדירים אשכולות וגיבויים בארגון.
פרויקטים, תיקיות וארגונים הם משאבי קונטיינר שמסודרים בהיררכיית משאבים של הורה-צאצא. הארגון הוא הצומת הבסיסי (root) בהיררכיה הזו. מידע נוסף מופיע במאמר היררכיית המשאבים.
מדיניות הארגון מכילה כללים, שנקראים אילוצים, שאדמין הארגון מגדיר בפרויקט, בתיקייה או בארגון. האילוצים אוכפים מדיניות בכל האשכולות והגיבויים. לדוגמה, אם מנסים ליצור אשכול או גיבוי בישות שיש לה מדיניות ארגונית, ההגבלה מריצה בדיקה כדי לוודא שההגדרה של האשכול או הגיבוי עומדת בדרישות של ההגבלה. אם הבדיקה נכשלת, AlloyDB לא יוצר את האשכול או את משאב הגיבוי.
כשמוסיפים פרויקטים לארגון או לתיקייה שמוגדרת בהם מדיניות ארגונית, הפרויקטים מקבלים בירושה את האילוצים של המדיניות הזו.
מידע נוסף על מדיניות הארגון זמין במאמרים מבוא לשירות של מדיניות הארגון, אילוצים והסבר על הערכת ההיררכיה.
כללי המדיניות הבאים של הארגון ספציפיים ל-AlloyDB:
מדיניות ארגון מוגדרת מראש
כדי להתחיל, אפשר להשתמש בהגדרות של מפתחות הצפנה בניהול הלקוח (CMEK) של אשכולות וגיבויים של AlloyDB. פרטים נוספים זמינים במאמר בנושא שימוש במדיניות ארגונית מוגדרת מראש. כדי לקבל שליטה מדויקת בהגדרות נתמכות אחרות, אפשר להשתמש במגבלות מותאמות אישית. מידע נוסף זמין במאמר בנושא שימוש במדיניות ארגונית בהתאמה אישית.
מדיניות ארגונית בנושא מפתחות הצפנה בניהול הלקוח (CMEK)
AlloyDB תומך באילוצים הבאים של מדיניות הארגון:
-
constraints/gcp.restrictNonCmekServices: נדרשת הגנה באמצעות CMEK עבורalloydb.googleapis.comAPI. כשמוסיפים את האילוץ הזה ואתalloydb.googleapis.comלרשימת השירותים במדיניותDeny, AlloyDB מסרב ליצור אשכול חדש או משאב גיבוי, אלא אם מופעלת הצפנה באמצעות מפתח משויך ללקוח (CMEK) באשכול החדש או במשאב הגיבוי. -
constraints/gcp.restrictCmekCryptoKeyProjects: מגביל את מפתחות ההצפנה של Cloud KMS לשימוש בהגנה באמצעות CMEK באשכולות ובגיבויים של AlloyDB. כש-AlloyDB יוצר אשכול או גיבוי חדשים באמצעות CMEK והאילוץ הזה, מפתח ה-CryptoKey חייב להגיע מפרויקט, מתיקייה או מארגון מורשים.
ההגבלות האלה עוזרות להבטיח הגנה באמצעות CMEK בכל הארגון, והן נאכפות רק על גיבויים ועל אשכולות חדשים של AlloyDB. מידע נוסף זמין במאמרים בנושא מדיניות הארגון לגבי CMEK ומגבלות במדיניות הארגון.
מדיניות ארגון בהתאמה אישית
כדי לקבל שליטה מפורטת בהגדרות, אתם יכולים ליצור אילוצים מותאמים אישית ולהשתמש בהם במדיניות ארגונית מותאמת אישית. שימוש במדיניות ארגונית מותאמת אישית כדי לשפר את האבטחה, התאימות והבקרה.
כדי ללמוד איך ליצור מדיניות ארגון מותאמת אישית, ראו שימוש במדיניות ארגון מותאמת אישית. אפשר גם לראות רשימה של אילוצים ופעולות בהתאמה אישית שנתמכים.
כללי אכיפה של מדיניות הארגון
AlloyDB אוכף את מדיניות הארגון בפעולות הבאות:
- יצירה של מכונה
- עדכון מכונה
- יצירת אשכול
- יצירת גיבוי
כמו כל ההגבלות של מדיניות הארגון, שינויים במדיניות לא חלים רטרואקטיבית על אשכולות וגיבויים קיימים. הנה כמה דוגמאות:
- מדיניות חדשה לא משפיעה על מקרים, אשכולות או גיבויים קיימים.
- אלא אם משתמש משנה את ההגדרה של המופע, האשכול או הגיבוי ממצב תאימות למצב לא תואם באמצעות מסוף Google Cloud , ה-CLI של gcloudאו RPC, ההגדרה הקיימת של המופע, האשכול או הגיבוי נשארת תקפה.
- עדכון מתוזמן של תחזוקה לא גורם לאכיפת מדיניות כי התחזוקה לא משנה את ההגדרה של מופעים, אשכולות או גיבויים.
המאמרים הבאים
- שימוש במדיניות ארגונית שהוגדרה מראש.
- מידע על כתובות IP פרטיות ב-AlloyDB
- איך מגדירים שירותים פרטיים ל-AlloyDB
- מידע נוסף על השירות של מדיניות הארגון
- מידע נוסף על אילוצים של מדיניות הארגון