AlloyDB 機構政策總覽

如要強制執行一致的安全性和管理限制，規範使用者在整個組織中設定 AlloyDB for PostgreSQL 叢集、執行個體和備份的方式，可以設定組織政策。

專案、資料夾和組織是以父項/子項資源階層結構組織的容器資源。組織是該階層中的根節點。詳情請參閱「資源階層結構」。

組織政策包含組織管理員對專案、資料夾或組織設定的規則，稱為「限制」。限制會對所有叢集和備份強制執行政策。舉例來說，如果您嘗試在具有組織政策的實體中建立叢集或備份，限制會執行檢查，驗證叢集或備份設定是否符合限制規定。如果檢查失敗，AlloyDB 就不會建立叢集或備份資源。

將專案新增至使用組織政策的組織或資料夾時，專案會繼承該政策的限制。

如要進一步瞭解組織政策，請參閱「組織政策服務簡介」、「限制」和「瞭解階層評估」。

下列組織政策專用於 AlloyDB：

預先定義的組織政策

如要開始使用，您可以對 AlloyDB 叢集和備份，套用客戶自行管理的加密金鑰 (CMEK) 設定。詳情請參閱「使用預先定義的組織政策」。如要精細、自訂控管其他支援的設定，請使用自訂限制。詳情請參閱「使用自訂組織政策」。

客戶自行管理的加密金鑰 (CMEK) 組織政策

AlloyDB 支援下列組織政策限制：

  • constraints/gcp.restrictNonCmekServices：alloydb.googleapis.com API 必須啟用 CMEK 保護機制。將這項限制和 alloydb.googleapis.com 新增至 Deny 政策服務清單後，除非新叢集或備份資源啟用 CMEK，否則 AlloyDB 會拒絕建立。

  • constraints/gcp.restrictCmekCryptoKeyProjects：限制 AlloyDB 叢集和備份中，用於 CMEK 保護的 Cloud Key Management Service (Cloud KMS) CryptoKeys。AlloyDB 使用 CMEK 和這項限制建立新的叢集或備份時，CryptoKey 必須來自允許的專案、資料夾或組織。

這些限制有助於在整個組織強制執行 CMEK 保護，且僅適用於新建立的 AlloyDB 叢集和備份。詳情請參閱「CMEK 組織政策」和「組織政策限制」。

自訂組織政策

如要更精細地自訂設定，您可以建立自訂限制，並用於自訂組織政策。使用自訂組織政策，提升安全性、法規遵循和管理成效。

如要瞭解如何建立自訂組織政策，請參閱「使用自訂組織政策」。您也可以查看支援的自訂限制和作業清單。

組織政策強制執行規則

AlloyDB 會對下列作業強制執行組織政策：

  • 建立執行個體

  • 執行個體更新

  • 建立叢集

  • 更新叢集

  • 建立備份

如同所有組織政策限制，政策變更不會回溯套用至現有叢集和備份。以下是幾個範例：

  • 新政策不會影響現有的執行個體、叢集或備份。
  • 除非使用者透過 Google Cloud 控制台、Google Cloud CLI 或 RPC，將執行個體、叢集或備份設定從符合規範的狀態變更為不符合規範的狀態，否則現有執行個體、叢集或備份設定仍有效。
  • 排定的維護更新不會導致政策強制執行，因為維護作業不會變更執行個體、叢集或備份的設定。

後續步驟