Gerenciar a restrição de virtualização aninhada

Neste documento, descrevemos como verificar se a virtualização aninhada está ativada e como modificar a restrição booleana que controla se ela está ativada para sua organização, seu projeto ou sua pasta.

Uma restrição booleana em uma política da organização determina se é possível criar VMs aninhadas. A restrição booleana para virtualização aninhada é uma restrição. Isso significa que, quando aplicada, ela solicita que a política da organização restrinja a criação de VMs aninhadas. Para mais informações sobre restrições booleanas, consulte Noções básicas sobre restrições.

A restrição Desativar virtualização aninhada de VM não é aplicada por padrão. Portanto, não é necessário modificar nenhuma restrição booleana para ativar a virtualização aninhada. Mesmo assim, o Google recomenda definir explicitamente o valor da restrição para que sua organização, suas pastas e seus projetos não dependam da configuração padrão. Se o projeto não estiver subordinado a uma organização, a restrição não será aplicada por padrão e não será possível alterá-la.

Antes de começar

  • Configure a autenticação, caso ainda não tenha feito isso. Com isso, você confirma sua identidade para acesso a serviços e APIs do Google Cloud . Para executar código ou exemplos em um ambiente de desenvolvimento local, faça a autenticação no Compute Engine com um destes métodos:

    Select the tab for how you plan to use the samples on this page:

    Console

    When you use the Google Cloud console to access Google Cloud services and APIs, you don't need to set up authentication.

    gcloud

    1. Instale a CLI do Google Cloud. Após a instalação, inicialize a CLI do Google Cloud executando o seguinte comando: 

      gcloud init

      Ao usar um provedor de identidade (IdP) externo, primeiro faça login na gcloud CLI com sua identidade federada.

    2. Set a default region and zone.

    REST

    Para usar as amostras da API REST desta página em um ambiente de desenvolvimento local, use as credenciais fornecidas para gcloud CLI.

      Instale a CLI do Google Cloud. Após a instalação, inicialize a CLI do Google Cloud executando o seguinte comando: 

      gcloud init

      Ao usar um provedor de identidade (IdP) externo, primeiro faça login na gcloud CLI com sua identidade federada.

    Saiba mais em Autenticar para usar REST na documentação de autenticação do Google Cloud .

Verificar se a virtualização aninhada é permitida

Verifique se a virtualização aninhada é permitida para uma organização, uma pasta ou um projeto usando o console do Google Cloud , a CLI do Google Cloud ou REST.

Console

Verifique se é possível criar VMs aninhadas na organização, na pasta ou no projeto conferindo se a restrição booleana para desativar a virtualização aninhada não está aplicada. Se a restrição Desativar virtualização aninhada de VM não tiver sido aplicada pela política da organização, será possível criar VMs aninhadas.

  1. No console do Google Cloud , acesse a página Políticas da organização.

    Acessar a página Políticas da organização

  2. No seletor de organização, pasta e projeto, selecione a entidade para exibir as políticas da organização.

  3. Selecione a restrição Desativar virtualização aninhada de VM para abrir a página Detalhes da política.

  4. Confira o valor de Aplicação:

    • Se o valor for Não aplicada, a virtualização aninhada estará ativada e será possível criar VMs aninhadas.

    • Se o valor for Aplicada, a virtualização aninhada estará desativada e não será possível criar VMs aninhadas.

gcloud

Verifique o valor da restrição booleana compute.disableNestedVirtualization usando o comando gcloud resource-manager org-policies describe.

Se a saída da CLI do Google Cloud não mostrar um valor para booleanPolicy, a virtualização aninhada estará permitida e será possível criar VMs aninhadas.

Se o valor de saída da CLI do Google Cloud para booleanPolicy for enforced: true, a política da organização aplicará a restrição de desativação da virtualização aninhada e não será possível criar VMs aninhadas.

gcloud resource-manager org-policies \
  describe constraints/compute.disableNestedVirtualization \
  (--organization=ORGANIZATION_ID | --folder=FOLDER_ID |
  --project=PROJECT_ID) --effective

Substitua exatamente uma das seguintes opções:

  • ORGANIZATION_ID: o ID da organização que contém o valor da restrição. Para conferir uma lista de organizações acessíveis e os respectivos IDs, execute o comando gcloud organizations list.

  • FOLDER_ID: o ID da pasta em que está o valor da restrição. Para conferir uma lista de pastas acessíveis e os respectivos IDs, execute o comando gcloud resource-manager folders list.

  • PROJECT_ID: o ID do projeto em que está o valor da restrição. Para conferir uma lista de projetos acessíveis e os respectivos IDs, execute o comando gcloud projects list.

REST

Use REST para verificar o valor da restrição booleana compute.disableNestedVirtualization, que determina se é possível criar VMs aninhadas na organização, na pasta ou no projeto.

Se a resposta REST não retornar um valor de "booleanPolicy" para a restrição, a virtualização aninhada não estará desativada e será possível criar VMs aninhadas.

Se o valor de "booleanPolicy" na saída for "enforced": true, a virtualização aninhada estará desativada e não será possível criar VMs aninhadas.

POST https://cloudresourcemanager.googleapis.com/v1/RESOURCE/RESOURCE_ID:getOrgPolicy

{
  "constraint": "compute.disableNestedVirtualization"
}

Substitua:

Modificar a política da organização de virtualização aninhada

Se você tiver o papel apropriado, poderá controlar se uma organização, pasta ou projeto pode criar VMs aninhadas. Controle essa aplicação usando a restrição booleana para virtualização aninhada.

Use o console do Google Cloud , a CLI do Google Cloud ou REST para ativar a virtualização aninhada para uma organização, uma pasta ou um projeto.

Console

Para ativar a virtualização aninhada, desative a aplicação da restrição booleana Desativar virtualização aninhada de VM. Para desativar a virtualização aninhada, ative a aplicação da restrição booleana.

  1. No console do Google Cloud , acesse a página Políticas da organização.

    Acessar a página Políticas da organização

  2. No seletor de organização, pasta e projeto, selecione a entidade para editar as políticas da organização.

  3. Selecione a restrição Desativar virtualização aninhada de VM para abrir a página Detalhes da política.

  4. Clique em Editar e selecione Personalizar.

  5. Em Aplicação, selecione uma das seguintes opções para a restrição booleana Desativar virtualização aninhada de VM:

    • Ativada: ativar a aplicação e desativar a virtualização aninhada.
    • Desativada: desativar a aplicação e ativar a virtualização aninhada.

  6. Clique em Salvar.

gcloud

Use o comando gcloud resource-manager org-policies para ativar ou desativar a aplicação da restrição booleana compute.disableNestedVirtualization da política da organização.

Se você desativar a restrição compute.disableNestedVirtualization usando o comando disable-enforce, poderá criar VMs com a virtualização aninhada ativada.

Se você ativar a restrição usando o comando enable-enforce, não será possível criar VMs com a virtualização aninhada ativada.

gcloud resource-manager org-policies \
  ( disable-enforce | enable-enforce ) compute.disableNestedVirtualization \
  (--organization=ORGANIZATION_ID | --folder=FOLDER_ID |
  --project=PROJECT_ID)

Substitua exatamente uma das seguintes opções:

  • ORGANIZATION_ID: o ID da organização que terá o valor da restrição modificado. Para conferir uma lista de organizações acessíveis e os respectivos IDs, execute o comando gcloud organizations list.

  • FOLDER_ID: o ID da pasta em que o valor da restrição será modificado. Para conferir uma lista de pastas acessíveis e os respectivos IDs, execute o comando gcloud resource-manager folders list.

  • PROJECT_ID: o ID do projeto em que o valor da restrição será modificado. Para conferir uma lista de projetos acessíveis e os respectivos IDs, execute o comando gcloud projects list.

REST

Use REST para modificar o valor da restrição booleana compute.disableNestedVirtualization, que determina se é possível criar VMs aninhadas na organização, na pasta ou no projeto.

POST https://cloudresourcemanager.googleapis.com/v1/RESOURCE/RESOURCE_ID:setOrgPolicy

{
  "policy": {
    "booleanPolicy": {
      "enforced": ENFORCE
    },
    "constraint": "constraints/compute.disableNestedVirtualization"
  }
}

Substitua:

  • RESOURCE: o recurso em que a política da organização será modificada. Defina como uma destas opções:

  • RESOURCE_ID: a organização, a pasta ou o projeto em que o status da restrição de virtualização aninhada está desativado.

  • ENFORCE: determina se a política da organização impõe a restrição booleana compute.disableNestedVirtualization. Defina como uma destas opções:

    • true: para aplicar a restrição. Com essa configuração, não é possível criar VMs com a virtualização aninhada ativada.

    • false: para não aplicar a restrição. Com essa configuração, é possível criar VMs com a virtualização aninhada ativada.

A seguir