Panoramica delle policy dell'organizzazione AlloyDB

Per applicare restrizioni di sicurezza e governance coerenti sul modo in cui gli utenti configurano cluster, istanze e backup di AlloyDB per PostgreSQL nella tua organizzazione, puoi configurare le policy dell'organizzazione.

I progetti, le cartelle e le organizzazioni sono risorse container organizzate in una gerarchia di risorse padre-figlio. Un'organizzazione è il nodo radice di questa gerarchia. Per saperne di più, consulta Gerarchia delle risorse.

Le policy dell'organizzazione contengono regole, chiamate vincoli, che l'amministratore dell'organizzazione applica a un progetto, una cartella o un'organizzazione. I vincoli applicano una policy a tutti i cluster e i backup. Ad esempio, se provi a creare un cluster o un backup in un'entità che ha una policy dell'organizzazione, il vincolo esegue un controllo per verificare che la configurazione del cluster o del backup segua i requisiti del vincolo. Se il controllo non va a buon fine, AlloyDB non crea il cluster o la risorsa di backup.

Quando aggiungi progetti a un'organizzazione o a una cartella che utilizza una policy dell'organizzazione, i progetti ereditano i vincoli di quella policy.

Per saperne di più sulle policy dell'organizzazione, consulta Introduzione al servizio Policy dell'organizzazione, Vincoli e Informazioni sulla valutazione della gerarchia.

Le seguenti policy dell'organizzazione sono specifiche per AlloyDB:

Policy dell'organizzazione predefinite

Per iniziare, puoi utilizzare le impostazioni delle chiavi di crittografia gestite dal cliente (CMEK) sui backup e sui cluster AlloyDB. Per maggiori dettagli, consulta Utilizza le policy dell'organizzazione predefinite. Per un controllo granulare e personalizzabile su altre impostazioni supportate, utilizza i vincoli personalizzati. Per saperne di più, consulta Utilizza le policy dell'organizzazione personalizzate.

Policy dell'organizzazione per le chiavi di crittografia gestite dal cliente (CMEK)

AlloyDB supporta i seguenti vincoli delle policy dell'organizzazione:

  • constraints/gcp.restrictNonCmekServices: richiede la protezione CMEK per l'API alloydb.googleapis.com. Quando aggiungi questo vincolo e alloydb.googleapis.com all'elenco dei servizi della policy Deny, AlloyDB rifiuta di creare un nuovo cluster o una risorsa di backup, a meno che il nuovo cluster o la risorsa di backup non siano abilitati con CMEK.

  • constraints/gcp.restrictCmekCryptoKeyProjects: limita le CryptoKey di Cloud Key Management Service (Cloud KMS) da utilizzare per la protezione CMEK nei cluster e nei backup AlloyDB. Quando AlloyDB crea un nuovo cluster o backup utilizzando CMEK e questo vincolo, la CryptoKey deve provenire da un progetto, una cartella o un'organizzazione consentiti.

Questi vincoli aiutano ad applicare la protezione CMEK in un'organizzazione e vengono applicati solo ai cluster e ai backup AlloyDB appena creati. Per maggiori informazioni, consulta Policy dell'organizzazione per le chiavi CMEK e Vincoli delle policy dell'organizzazione.

Policy dell'organizzazione personalizzate

Per un controllo granulare e personalizzabile delle impostazioni, puoi creare vincoli personalizzati e utilizzarli in una policy dell'organizzazione personalizzata. Utilizza le policy dell'organizzazione personalizzate per migliorare la sicurezza, la conformità e la governance.

Per scoprire come creare policy dell'organizzazione personalizzate, consulta Utilizza le policy dell'organizzazione personalizzate. Puoi anche visualizzare un elenco di vincoli e operazioni personalizzati supportati.

Regole di applicazione delle policy dell'organizzazione

AlloyDB applica la policy dell'organizzazione per le seguenti operazioni:

  • Creazione dell'istanza

  • Aggiornamento dell'istanza

  • Creazione del cluster

  • Aggiornamento del cluster

  • Creazione del backup

Come tutti i vincoli delle policy dell'organizzazione, le modifiche alle policy non vengono applicate retroattivamente ai cluster e ai backup esistenti. Ecco alcuni esempi:

  • Una nuova policy non ha alcun effetto su istanze, cluster o backup esistenti.
  • A meno che un utente non modifichi la configurazione dell'istanza, del cluster o del backup da uno stato di conformità a uno di non conformità utilizzando la console Google Cloud , Google Cloud CLI o RPC, una configurazione dell'istanza, del cluster o del backup esistente rimane valida.
  • Un aggiornamento di manutenzione pianificato non causa l'applicazione delle policy perché la manutenzione non modifica la configurazione di istanze, cluster o backup.

Passaggi successivi