Políticas da organização para o Compute Engine

O Organization Policy Service oferece controle centralizado e programático sobre os recursos da sua organização. É possível usar políticas da organização para aplicar restrições sobre como os recursos do Compute Engine, como instâncias de máquina virtual (VM), discos e redes, são configurados. Para mais informações sobre a política da organização, consulte Introdução ao serviço de políticas da organização.

É possível definir políticas no nível da organização, da pasta ou do projeto. Os recursos descendentes herdam políticas, o que permite aplicar controles amplos no nível da organização e restrições mais específicas no nível da pasta ou do projeto.

Este documento oferece uma visão geral de como usar a política da organização para gerenciar seus recursos do Compute Engine.

Casos de uso

É possível usar políticas da organização para aplicar a governança em todos os recursos do Compute Engine. Algumas metas comuns são:

  • Gerenciamento de custos: controle os gastos restringindo quais tipos de máquinas de VM ou tamanhos Persistent Disk podem ser criados em um determinado projeto.
  • Postura de segurança: aplique práticas recomendadas de segurança, como exigir o Login do SO para todo o acesso à instância de VM ou desativar o console serial interativo.
  • Conformidade: atenda a requisitos regulamentares, como exigir que as VMs em um projeto específico sejam executadas em nós de locatário individual para oferecer suporte ao isolamento de hardware.

Tipos de restrições

Ao usar a política da organização, é possível aplicar os seguintes tipos de restrições:

  • Restrições gerenciadas: restrições predefinidas fornecidas pelo Google que são criadas em uma plataforma moderna, identificáveis pelo prefixo compute.managed.*. Elas oferecem suporte a ferramentas de implantação segura, como simulação e Simulador de política, além de instruções condicionadas por tags, que permitem conceder isenções granulares a recursos específicos.
  • Restrições gerenciadas (legado): restrições predefinidas fornecidas pelo Google identificáveis pelo prefixo compute.*. Embora sejam funcionais, geralmente não oferecem suporte a ferramentas modernas de lançamento seguro, como simulação e Policy Simulator, e não aceitam instruções condicionadas por tag. Quando uma alternativa equivalente está disponível, recomendamos migrar para restrições gerenciadas para aproveitar os recursos aprimorados de governança e lançamento seguro.
  • Restrições personalizadas: restrições criadas para suas necessidades específicas usando a Common Expression Language (CEL). Com as restrições personalizadas, é possível aplicar políticas em campos específicos que não são abordados pelas restrições gerenciadas. Assim como as restrições gerenciadas, as restrições personalizadas oferecem suporte a instruções condicionadas por tag e ferramentas de lançamento seguro, como simulação e Simulador de política. Para saber mais sobre como criar e gerenciar restrições personalizadas para o Compute Engine, consulte Restrições personalizadas.

Um limite de 20 restrições por recurso do Compute Engine se aplica ao número total de restrições gerenciadas e personalizadas combinadas. As restrições gerenciadas legadas não contam para esse limite.

Restrições do Compute Engine

As seções a seguir listam as restrições do Compute Engine compatíveis com a política da organização.

Restrições gerenciadas

As restrições gerenciadas do Compute Engine simplificam a governança em cenários comuns de segurança e se integram a ferramentas de lançamento seguro, como simulação e Simulador de política, que permitem testar o impacto antes da aplicação. Para conferir uma lista de restrições gerenciadas do Compute Engine, consulte Restrições gerenciadas.

Restrições gerenciadas (legado)

Essas restrições são da geração anterior e não oferecem suporte a ferramentas de implantação segura. Recomendamos migrar para restrições gerenciadas quando um equivalente estiver disponível.

A seguir