Impedisci la creazione di VM che utilizzano i metadati del container

Per assicurarsi che le risorse della tua organizzazione non utilizzino l'agente di avvio dei container (konlet) deprecato e i relativi metadati gce-container-declaration, Google consiglia di applicare una policy dell'organizzazione. Il vincolo gestito compute.managed.disableVmsWithContainerStartupAgent, se applicato, disattiva la creazione di risorse che utilizzano i metadati deprecati.

Questo documento descrive come:

  • Applica una policy dell'organizzazione per disattivare la creazione di istanze Compute Engine che utilizzano l'agente di avvio dei container.
  • Monitora l'impatto della policy dell'organizzazione applicandola in modalità dry run.
  • Identifica i progetti che tentano di utilizzare l'agente di avvio dei container deprecato con Esplora log.

Applica la policy dell'organizzazione per disattivare la creazione di VM che utilizzano i metadati dei container

Per impedire la creazione di risorse che utilizzano l'agente di avvio dei container deprecato, Google consiglia di applicare una policy dell'organizzazione. Il vincolo constraints/compute.managed.disableVmsWithContainerStartupAgent impedisce la creazione di nuove risorse con la chiave di metadati gce-container-declaration. Questo vincolo non influisce sulle istanze o sui modelli di istanza esistenti.

Puoi applicare questo vincolo utilizzando la Google Cloud console, Google Cloud CLI o l'API Compute Engine.

Console

Per impostare la policy dell'organizzazione utilizzando la console, completa i seguenti passaggi:

  1. Nella Google Cloud console, vai alla pagina Policy dell'organizzazione.

    Vai a Policy dell'organizzazione

  2. Nel selettore di progetti, seleziona il progetto, la cartella o l'organizzazione per cui vuoi modificare le policy dell'organizzazione.

    La pagina Policy dell'organizzazione mostra un elenco dei vincoli delle policy dell'organizzazione disponibili.

  3. Seleziona il vincolo Disattiva la creazione di istanze Compute Engine che utilizzano l'agente di avvio dei container (konlet) deprecato dall'elenco dei vincoli. La pagina Dettagli policy visualizzata descrive il vincolo e fornisce informazioni su come viene applicato.

  4. Per aggiornare la policy dell'organizzazione per questa risorsa, fai clic su Gestisci policy.

  5. Nella pagina Modifica policy, fai clic su Esegui l'override della policy del parent.

  6. Seleziona Aggiungi una regola.

  7. In Applicazione forzata, seleziona On.

  8. (Facoltativo) Per visualizzare l'anteprima dell'impatto della modifica della policy dell'organizzazione prima che venga applicata, fai clic su Testa modifiche. Per saperne di più sul test delle modifiche alle policy dell'organizzazione, consulta Testa le modifiche alle policy dell'organizzazione con Policy Simulator.

  9. Per applicare la policy dell'organizzazione in modalità dry run, fai clic su Imposta policy dry run. Per saperne di più, consulta Crea una policy dell'organizzazione in modalità dry run da una policy live.

  10. Dopo aver verificato che la policy dell'organizzazione in modalità dry run funziona come previsto, imposta la policy live facendo clic su Imposta policy.

gcloud

  1. Crea un file YAML per definire la policy dell'organizzazione.

    name: RESOURCE_TYPE/RESOURCE_ID/policies/compute.managed.disableVmsWithContainerStartupAgent
spec:
  rules:
  - enforce: true
dryRunSpec:
  rules:
  - enforce: true

    Sostituisci quanto segue:

    • RESOURCE_TYPE con organizations, folders o projects.

    • RESOURCE_ID con l'ID organizzazione, l'ID cartella, l'ID progetto o il numero di progetto, a seconda del tipo di risorsa specificato in RESOURCE_TYPE.

    L'esempio seguente mostra un file YAML che applica la policy dell'organizzazione per il progetto con ID 123456:

    name: projects/123456/policies/compute.managed.disableVmsWithContainerStartupAgent
spec:
  rules:
  - enforce: true
dryRunSpec:
  rules:
  - enforce: true

    (Facoltativo) Per rendere la policy dell'organizzazione condizionale su un tag, aggiungi un blocco condition alle rules. Se aggiungi una regola condizionale a una policy dell'organizzazione, devi aggiungere almeno una regola non condizionale, altrimenti la policy non può essere salvata. Per maggiori dettagli, consulta Impostare una policy dell'organizzazione con i tag.

  2. Esegui il org-policies set-policy comando con il dryRunSpec flag per impostare la policy dell'organizzazione in modalità dry run:

     gcloud org-policies set-policy POLICY_PATH \
   --update-mask=dryRunSpec

    Sostituisci POLICY_PATH con il percorso completo del file YAML della policy dell'organizzazione.

    Per saperne di più sulle policy dell'organizzazione dry run, consulta Crea una policy dell'organizzazione in modalità dry run.

  3. Utilizza il policy-intelligence simulate orgpolicy comando per visualizzare l'anteprima dell'impatto della modifica della policy dell'organizzazione prima che venga applicata:

    gcloud policy-intelligence simulate orgpolicy \
  --organization=ORGANIZATION_ID \
  --policies=POLICY_PATH

    Sostituisci quanto segue:

    • ORGANIZATION_ID con l'ID organizzazione, ad esempio 1234567890123. La simulazione delle modifiche su più organizzazioni non è supportata.

    • POLICY_PATH con il percorso completo del file YAML della policy dell'organizzazione.

    Per saperne di più sul test delle modifiche alle policy dell'organizzazione, consulta Testa le modifiche alle policy dell'organizzazione con Policy Simulator.

  4. Dopo aver verificato che la policy dell'organizzazione in modalità dry run funziona come previsto, imposta la policy live con il comando org-policies set-policy e il flag spec:

    gcloud org-policies set-policy POLICY_PATH \
  --update-mask=spec

    Sostituisci POLICY_PATH con il percorso completo del file YAML della policy dell'organizzazione.

REST

Per impostare la policy dell'organizzazione, utilizza il organizations.policies.create metodo.

POST https://orgpolicy.googleapis.com/v2/{parent=organizations/ORGANIZATION_ID}/policies

Il corpo della richiesta JSON contiene la definizione di una policy dell'organizzazione. Se questo vincolo non supporta i parametri, ometti il blocco parameters in rules.

{
  "name": "RESOURCE_TYPE/RESOURCE_ID/policies/compute.managed.disableVmsWithContainerStartupAgent",
  "spec": {
    "rules": [
      {
        "enforce": true,
      }
    ]
  },
  "dryRunSpec": {
    "rules": [
      {
        "enforce": true,
      }
    ]
  }
}

Sostituisci quanto segue:

  • RESOURCE_TYPE con organizations, folders o projects.

  • RESOURCE_ID con l'ID organizzazione, l'ID cartella, l'ID progetto o il numero di progetto, a seconda del tipo di risorsa specificato in RESOURCE_TYPE.

L'esempio seguente mostra un corpo della richiesta che applica la policy dell'organizzazione per il progetto con ID 123456:

  {
    "name": "projects/123456/policies/compute.managed.disableVmsWithContainerStartupAgent",
    "spec": {
      "rules": [
        {
          "enforce": true,
        }
      ]
    },
    "dryRunSpec": {
      "rules": [
        {
          "enforce": true,
        }
      ]
    }
  }
  ```

Optionally, to make the organization policy conditional on a tag, add a
`condition` block to the `rules`. If you add a conditional rule to an
organization policy, you must add at least one unconditional rule or the
policy cannot be saved. For more details, see
[Setting an organization policy with tags](/resource-manager/docs/organization-policy/tags-organization-policy).

For more information about dry-run organization policies, see
[Create an organization policy in dry-run mode](/resource-manager/docs/organization-policy/dry-run-policy).

Monitora l'utilizzo dei metadati deprecati applicando la policy in modalità dry run

Anziché applicare direttamente la policy, che blocca la creazione di istanze che utilizzano i metadati della dichiarazione del container, puoi applicarla in modalità dry run. Questa impostazione consente di monitorare e registrare le azioni che la policy può bloccare, senza interferire con le operazioni. Per saperne di più, consulta Crea una policy dell'organizzazione in modalità dry run .

Quando un'azione attiva la policy dry run (ad esempio, se tenti di creare un'istanza con la gce-container-declaration chiave di metadati), viene generata una voce di log in Cloud Audit Logs.

Per identificare i progetti che tentano di utilizzare l'agente di avvio dei container deprecato, completa i seguenti passaggi:

  1. Nella Google Cloud console, vai alla pagina Esplora log.

    Vai a Esplora log

  2. Nel riquadro Query, inserisci la seguente query:

    protoPayload.metadata.dryRun="true"
protoPayload.methodName="CheckOrgPolicy"
protoPayload.resourceName =~ "/compute.managed.disableVmsWithContainerStartupAgent"

  3. Fai clic su Esegui query.

  4. Identifica i progetti che tentano di utilizzare l'agente di avvio dei container deprecato esaminando le voci di log. I log per le violazioni dry run hanno le seguenti caratteristiche:

    • Sono correlati a orgpolicy.googleapis.com.
    • Il campo protoPayload.metadata.dryRun è impostato su true.
    • Il vincolo constraints/compute.managed.disableVmsWithContainerStartupAgent è incluso nei dettagli della violazione.

  5. Esamina le informazioni negli audit log per capire dove e perché l'agente di avvio dei container deprecato viene ancora utilizzato. Queste informazioni possono guidare gli sforzi per eseguire la migrazione di questi carichi di lavoro ad alternative supportate.

  6. Dopo aver verificato che la policy dell'organizzazione in modalità dry run funziona come previsto, applica la policy modificando lo stato di applicazione forzata da modalità dry run a live.

Per saperne di più sull'utilizzo di Esplora log, consulta Visualizza i log utilizzando Esplora log.

Passaggi successivi