Ringkasan kebijakan organisasi AlloyDB

Untuk menerapkan batasan keamanan dan tata kelola yang konsisten terkait cara pengguna mengonfigurasi cluster, instance, dan cadangan AlloyDB untuk PostgreSQL di seluruh organisasi, Anda dapat mengonfigurasi kebijakan organisasi.

Project, folder, dan organisasi adalah resource container yang diatur dalam hierarki resource induk-turunan. Organisasi adalah node root dalam hierarki tersebut. Untuk mengetahui informasi selengkapnya, lihat Hierarki resource.

Kebijakan organisasi berisi aturan, yang disebut batasan, yang ditempatkan administrator organisasi di project, folder, atau organisasi. Batasan akan menerapkan kebijakan di semua cluster dan cadangan. Misalnya, jika Anda mencoba membuat cluster atau cadangan di entity yang memiliki kebijakan organisasi, batasan akan menjalankan pemeriksaan untuk memverifikasi bahwa konfigurasi cluster atau cadangan mengikuti persyaratan batasan. Jika pemeriksaan gagal, AlloyDB tidak akan membuat resource cluster atau cadangan.

Saat Anda menambahkan project ke organisasi atau folder yang menggunakan kebijakan organisasi, project tersebut akan mewarisi batasan kebijakan tersebut.

Untuk mengetahui informasi selengkapnya tentang kebijakan organisasi, lihat Pengantar Organization Policy Service, Batasan, dan Memahami evaluasi hierarki.

Kebijakan organisasi berikut khusus untuk AlloyDB:

Kebijakan organisasi yang telah ditetapkan

Untuk memulai, Anda dapat menggunakan setelan kunci enkripsi yang dikelola pelanggan (CMEK) di cluster dan cadangan AlloyDB. Untuk mengetahui detail selengkapnya, lihat Menggunakan kebijakan organisasi yang telah ditetapkan. Untuk kontrol yang terperinci dan dapat disesuaikan atas setelan lain yang didukung, gunakan batasan kustom. Untuk mengetahui informasi selengkapnya, lihat Menggunakan kebijakan organisasi kustom.

Kebijakan organisasi kunci enkripsi yang dikelola pelanggan (CMEK)

AlloyDB mendukung batasan kebijakan organisasi berikut:

  • constraints/gcp.restrictNonCmekServices: memerlukan perlindungan CMEK untuk API alloydb.googleapis.com. Saat Anda menambahkan batasan ini dan alloydb.googleapis.com ke daftar kebijakan layanan Deny, AlloyDB akan menolak pembuatan cluster baru atau resource cadangan kecuali jika cluster baru atau resource cadangan diaktifkan dengan CMEK.

  • constraints/gcp.restrictCmekCryptoKeyProjects: membatasi CryptoKey Cloud Key Management Service (Cloud KMS) yang akan digunakan untuk perlindungan CMEK di cluster dan cadangan AlloyDB. Saat AlloyDB membuat cluster atau cadangan baru menggunakan CMEK dan batasan ini, CryptoKey harus berasal dari project, folder, atau organisasi yang diizinkan.

Batasan ini membantu menerapkan perlindungan CMEK di seluruh organisasi, dan hanya diterapkan pada cluster dan cadangan AlloyDB yang baru dibuat. Untuk mengetahui informasi selengkapnya, lihat Kebijakan organisasi CMEK dan Batasan kebijakan organisasi.

Kebijakan organisasi kustom

Untuk kontrol yang terperinci dan dapat disesuaikan atas setelan, Anda dapat membuat batasan khusus dan menggunakannya dalam kebijakan organisasi kustom. Gunakan kebijakan organisasi kustom untuk meningkatkan keamanan, kepatuhan, dan tata kelola Anda.

Untuk mempelajari cara membuat kebijakan organisasi kustom, lihat Menggunakan kebijakan organisasi kustom. Anda juga dapat melihat daftar batasan dan operasi kustom yang didukung.

Aturan penegakan kebijakan organisasi

AlloyDB menerapkan kebijakan organisasi untuk operasi berikut:

  • Pembuatan instance

  • Update instance

  • Pembuatan cluster

  • Update cluster

  • Pembuatan cadangan

Seperti semua batasan kebijakan organisasi, perubahan kebijakan tidak berlaku secara surut pada cluster dan cadangan yang ada. Berikut adalah contohnya:

  • Kebijakan baru tidak akan memengaruhi instance, cluster, atau cadangan yang ada.
  • Kecuali jika pengguna mengubah konfigurasi instance, cluster, atau cadangan dari status kepatuhan menjadi ketidakpatuhan menggunakan konsol Google Cloud , Google Cloud CLI, atau RPC, konfigurasi instance, cluster, atau cadangan yang ada tetap valid.
  • Update pemeliharaan terjadwal tidak menyebabkan penegakan kebijakan karena pemeliharaan tidak mengubah konfigurasi instance, cluster, atau cadangan.

Langkah berikutnya