Visão geral das políticas da organização do AlloyDB

Para aplicar restrições consistentes de segurança e governança sobre como os usuários configuram clusters, instâncias e backups do AlloyDB para PostgreSQL em toda a organização, configure políticas da organização.

Projetos, pastas e organizações são recursos de contêiner organizados em uma hierarquia de recursos pai-filho. Uma organização é o nó raiz nessa hierarquia. Para mais informações, consulte Hierarquia de recursos.

As políticas da organização contêm regras, chamadas de restrições, que o administrador da organização coloca em um projeto, pasta ou organização. As restrições aplicam uma política em todos os clusters e backups. Por exemplo, se você tentar criar um cluster ou backup em uma entidade que tenha uma política da organização, a restrição vai executar uma verificação para confirmar se a configuração do cluster ou do backup segue os requisitos da restrição. Se a verificação falhar, o AlloyDB não criará o cluster ou o recurso de backup.

À medida que você adiciona projetos a uma organização ou pasta que usa uma política da organização, os projetos herdam as restrições dessa política.

Para mais informações sobre políticas da organização, consulte Introdução ao serviço de políticas da organização, Restrições e Noções básicas sobre avaliação de hierarquia.

As seguintes políticas da organização são específicas do AlloyDB:

Políticas predefinidas da organização

Para começar, use as configurações de chaves de criptografia gerenciadas pelo cliente (CMEK) em clusters e backups do AlloyDB. Para mais detalhes, consulte Usar políticas da organização predefinidas. Para ter um controle mais granular e personalizável sobre outras configurações compatíveis, use restrições personalizadas. Para mais informações, consulte Usar políticas personalizadas da organização.

Políticas da organização para chaves de criptografia gerenciadas pelo cliente (CMEK, na sigla em inglês)

O AlloyDB é compatível com as seguintes restrições de política da organização:

  • constraints/gcp.restrictNonCmekServices: exige proteção de CMEK para a API alloydb.googleapis.com. Quando você adiciona essa restrição e alloydb.googleapis.com à lista de serviços da política Deny, o AlloyDB se recusa a criar um novo cluster ou recurso de backup, a menos que o novo cluster ou recurso de backup esteja ativado com CMEK.

  • constraints/gcp.restrictCmekCryptoKeyProjects: limita quais CryptoKeys do Cloud Key Management Service (Cloud KMS) usar para proteção de CMEK em clusters e backups do AlloyDB. Quando o AlloyDB cria um cluster ou backup usando CMEK e essa restrição, a CryptoKey precisa vir de um projeto, uma pasta ou uma organização permitida.

Essas restrições ajudam a aplicar a proteção de CMEK em uma organização e são aplicadas apenas a clusters e backups recém-criados do AlloyDB. Para mais informações, consulte Políticas da organização de CMEK e Restrições de políticas da organização.

Políticas personalizadas da organização

Para ter um controle granular e personalizável sobre as configurações, crie restrições personalizadas e use-as em uma política da organização personalizada. Use políticas da organização personalizadas para melhorar a segurança, a conformidade e a governança.

Para saber como criar políticas personalizadas da organização, consulte Usar políticas personalizadas da organização. Confira uma lista de restrições e operações personalizadas compatíveis.

Regras de aplicação da política da organização

O AlloyDB aplica a política da organização para as seguintes operações:

  • criação de instância

  • Atualização da instância

  • Criação do cluster

  • Atualização do cluster

  • Criação do backup

Como todas as restrições de política da organização, as alterações na política não se aplicam retroativamente aos clusters e backups atuais. Confira alguns exemplos:

  • Uma nova política não afeta as instâncias, os clusters ou os backups atuais.
  • A menos que um usuário mude a configuração da instância, do cluster ou do backup de um estado de conformidade para não conformidade usando o console do Google Cloud , a Google Cloud CLI ou uma RPC, uma configuração de instância, cluster ou backup atual permanece válida.
  • Uma atualização de manutenção programada não faz com que uma política seja aplicada porque a manutenção não altera a configuração de instâncias, clusters ou backups.

A seguir