Policy dell'organizzazione per Compute Engine

Il servizio Policy dell'organizzazione offre un controllo centralizzato e programmatico sulle risorse della tua organizzazione. Puoi utilizzare le policy dell'organizzazione per applicare vincoli alla configurazione delle risorse Compute Engine, come istanze di macchine virtuali (VM), dischi e reti. Per saperne di più sulle policy dell'organizzazione, consulta la pagina Introduzione al servizio Policy dell'organizzazione.

Puoi impostare i criteri a livello di organizzazione, cartella o progetto. Le risorse discendenti ereditano le policy, il che ti consente di applicare controlli generali a livello di organizzazione e vincoli più specifici a livello di cartella o progetto.

Questo documento fornisce una panoramica di come utilizzare Organization Policy per gestire le risorse Compute Engine.

Casi d'uso

Puoi utilizzare le policy dell'organizzazione per applicare la governance alle risorse Compute Engine. Gli obiettivi comuni includono:

  • Gestione dei costi: controlla la spesa limitando i tipi di macchine VM o le dimensioni Persistent Disk che possono essere creati in un determinato progetto.
  • Postura di sicurezza: applica le best practice per la sicurezza, ad esempio richiedendo OS Login per l'accesso a tutte le istanze VM o disattivando la console seriale interattiva.
  • Conformità: soddisfa i requisiti normativi, ad esempio richiedendo che le VM in un progetto specifico vengano eseguite su nodi single-tenant per supportare l'isolamento hardware.

Tipi di vincoli

Quando utilizzi il criterio dell'organizzazione, puoi applicare i seguenti tipi di vincoli:

  • Vincoli gestiti: vincoli predefiniti forniti da Google e basati su una piattaforma moderna, identificabili dal prefisso compute.managed.*. Supportano strumenti di implementazione sicuri, come l'esecuzione di prova e Policy Simulator, nonché istruzioni condizionate dai tag, che consentono di concedere esenzioni granulari a risorse specifiche.
  • Vincoli gestiti (legacy): vincoli predefiniti forniti da Google identificabili dal prefisso compute.*. Sebbene funzionali, in genere non supportano strumenti di implementazione sicuri moderni, come Dry Run e Policy Simulator, e non supportano le istruzioni condizionate dai tag. Quando è disponibile un'alternativa equivalente, ti consigliamo di eseguire la migrazione ai vincoli gestiti per usufruire di funzionalità di governance avanzate e implementazione sicura.
  • Vincoli personalizzati: vincoli che crei per le tue esigenze specifiche utilizzando il Common Expression Language (CEL). I vincoli personalizzati ti consentono di applicare criteri a campi specifici non gestiti dai vincoli gestiti. Come i vincoli gestiti, i vincoli personalizzati supportano istruzioni condizionate dai tag e strumenti di implementazione sicuri, come dry run e Policy Simulator. Per scoprire di più sulla creazione e la gestione di vincoli personalizzati per Compute Engine, consulta Vincoli personalizzati.

Un limite di 20 vincoli per risorsa Compute Engine si applica al numero totale di vincoli gestiti e vincoli personalizzati combinati. I vincoli gestiti legacy non vengono conteggiati ai fini di questo limite.

Vincoli di Compute Engine

Le sezioni seguenti elencano i vincoli di Compute Engine supportati da Policy dell'organizzazione.

Vincoli gestiti

I vincoli gestiti per Compute Engine semplificano la governance per scenari di sicurezza comuni e si integrano con strumenti di implementazione sicuri, come la prova generale e Policy Simulator, che ti consentono di testare il loro impatto prima dell'applicazione. Per un elenco dei vincoli gestiti per Compute Engine, consulta Vincoli gestiti.

Vincoli gestiti (legacy)

Questi vincoli provengono dalla generazione precedente e non supportano strumenti di implementazione sicuri. Ti consigliamo di eseguire la migrazione ai vincoli gestiti quando è disponibile un equivalente.

Passaggi successivi