Gestisci le assegnazioni delle policy del sistema operativo utilizzando l'orchestratore delle policy

Questa pagina descrive come utilizzare la funzionalità dell'orchestratore delle policy in VM Manager per creare, aggiornare o eliminare le risorse delle policy del sistema operativo in diversi progetti e zone delle tue cartelle o della tua organizzazione.

Prima di iniziare

  • Rivedi Policy del sistema operativo e assegnazione delle policy.
  • Esamina le quote di OS Config.
  • Assicurati di soddisfare i prerequisiti per l'utilizzo dell'orchestratore delle policy.
  • Se non l'hai ancora fatto, configura l'autenticazione. L'autenticazione verifica la tua identità per l'accesso ad API e servizi Google Cloud . Per eseguire codice o esempi da un ambiente di sviluppo locale, puoi autenticarti su Compute Engine selezionando una delle seguenti opzioni:

    Seleziona la scheda relativa a come prevedi di utilizzare i campioni in questa pagina:

    Console

    Quando utilizzi la console Google Cloud per accedere ai servizi Google Cloud e alle API, non devi configurare l'autenticazione.

    gcloud

    1. Installa Google Cloud CLI. Dopo l'installazione, inizializza Google Cloud CLI eseguendo il comando seguente: 

      gcloud init

      Se utilizzi un provider di identità (IdP) esterno, devi prima accedere a gcloud CLI con la tua identità federata.

  • Imposta una regione e una zona predefinite.

    • REST

    Per utilizzare gli esempi di API REST in questa pagina in un ambiente di sviluppo locale, utilizzi le credenziali che fornisci a gcloud CLI.

      Installa Google Cloud CLI.

      Se utilizzi un provider di identità (IdP) esterno, devi prima accedere a gcloud CLI con la tua identità federata.

    Per saperne di più, consulta Autenticati per usare REST nella documentazione sull'autenticazione di Google Cloud .

Crea o aggiorna le assegnazioni delle policy del sistema operativo in progetti e zone

Puoi creare orchestratori delle policy per applicare le policy del sistema operativo alle risorse selezionate in un progetto, una cartella o un'organizzazione.

Progetto

Console

Per creare un orchestratore delle policy e applicare le assegnazioni delle policy del sistema operativo in un progetto:

  1. Sul client locale, crea o scarica un file di policy del sistema operativo. Questo file deve essere un file JSON o YAML. Per saperne di più sulla creazione di policy del sistema operativo o per visualizzare esempi di policy del sistema operativo, consulta Policy del sistema operativo.
  2. Nella console Google Cloud , vai alla pagina Policy del sistema operativo.

    Vai a Policy del sistema operativo

  3. Fai clic sul selettore di progetti nella barra delle azioni della console Google Cloud e seleziona il progetto in cui vuoi creare l'orchestratore delle policy.
  4. Fai clic su Crea globale.
  5. Specifica un nome e una descrizione per l'orchestratore delle policy. Per saperne di più sulle convenzioni di denominazione, consulta Convenzione di denominazione delle risorse. VM Manager assegna un ID orchestratore univoco all'orchestratore delle policy. Se necessario, puoi modificare questo ID.
  6. Nella sezione Policy del sistema operativo, carica il rispettivo file.
  7. (Facoltativo) Nella sezione Stato, seleziona una delle seguenti opzioni per specificare il comportamento dell'orchestratore delle policy:
    • ACTIVE: In questo stato, l'orchestratore delle policy può intraprendere azioni non appena viene creato.
    • STOPPED: un orchestratore delle policy creato in questo stato non intraprende immediatamente alcuna azione. Puoi modificare l'orchestratore delle policy in un secondo momento per cambiarne lo stato.
  8. Nel campo Azione, seleziona l'azione UPSERT.
  9. Nella sezione Ambito di orchestrazione, specifica le cartelle e i progetti in cui vuoi implementare le policy del sistema operativo. In questi campi devi inserire solo i numeri dei progetti e delle cartelle, ad esempio 123456,7654321.
  10. Seleziona le zone che contengono le VM a cui vuoi applicare le policy del sistema operativo. In alternativa, fai clic su Seleziona tutto per applicare le modifiche alle policy del sistema operativo alle risorse in tutte le zone.
  11. (Facoltativo) Nella sezione Istanze VM di destinazione, specifica le VM di destinazione a cui vuoi applicare le policy del sistema operativo.
    • Seleziona il nome e la versione del sistema operativo. Per saperne di più, consulta Assegnazioni delle policy del sistema operativo.
    • Puoi filtrare ulteriormente le VM specificando le etichette di inclusione ed esclusione.

      Ad esempio, puoi selezionare tutte le VM Ubuntu nel tuo ambiente di test ed escludere quelle su cui è in esecuzione Google Kubernetes Engine specificando quanto segue:

      • Nome breve del sistema operativo: ubuntu
      • Includi: env:test, env:staging
      • Escludi: goog-gke-node
  12. Specifica un piano di rollout per l'assegnazione delle policy del sistema operativo.
    • Specifica la dimensione di wave (detta anche budget di interruzione). Ad esempio: 10%.
    • Specifica il tempo di attesa. Ad esempio, 15 minuti.
  13. Fai clic su Crea.

gcloud

Per creare un orchestratore delle policy, completa i seguenti passaggi:

  1. Crea o scarica un file di assegnazione delle policy del sistema operativo in formato JSON o YAML. Per ulteriori informazioni su questo file e sugli esempi di assegnazioni delle policy, consulta Assegnazioni delle policy del sistema operativo.

  2. Utilizza il comando os-config policy-orchestrators create per creare e implementare l'assegnazione delle policy del sistema operativo nell'ambito specificato.

      gcloud compute os-config policy-orchestrators create ORCHESTRATOR_NAME \
    --policy-type=os_policy_assignment_v1 \
    --policy-file=OS_POLICY_ASSIGNMENT_YAML_FILE \
    --policy-id=POLICY_ID

    Sostituisci quanto segue:

    • ORCHESTRATOR_NAME: il nome dell'orchestratore delle policy Consulta Convenzione di denominazione delle risorse.
    • OS_POLICY_ASSIGNMENT_FILE: il percorso assoluto del file di assegnazione delle policy del sistema operativo creato nel passaggio precedente.
    • POLICY_ID: un ID univoco per l'orchestratore delle policy Se non specifichi un valore, l'orchestratore delle policy assegna un ID univoco alla risorsa dell'orchestratore.

    Esempio

      gcloud compute os-config policy-orchestrators create my-os-policy-orchestrator \
      --policy-type=os_policy_assignment_v1 \
      --policy-file=/downloads/assignment-config.yaml \
      --policy-id=policy-123

REST

Per creare un orchestratore delle policy, completa i seguenti passaggi:

  1. Crea o scarica un file di assegnazione delle policy del sistema operativo. Questo file deve essere un file JSON. Per ulteriori informazioni sulla creazione di assegnazioni delle policy del sistema operativo o per visualizzare esempi di assegnazioni delle policy del sistema operativo, consulta Assegnazione delle policy del sistema operativo.

  2. A seconda dell'ambito in cui crei l'orchestratore delle policy, utilizza uno dei seguenti metodi:

    Invia una richiesta POST al metodo projects.locations.global.policyOrchestrators.create.

    Nel corpo della richiesta, incolla le specifiche di assegnazione delle policy del sistema operativo del passaggio precedente.

    POST https://osconfig.googleapis.com/v2/projects/PROJECT_NUMBER/locations/global/policyOrchestrators

  {
      JSON_OS_POLICY_ORCHESTRATOR
  }

    Sostituisci quanto segue:

    • PROJECT_NUMBER: l'ID numerico del progetto in cui vuoi creare l'orchestratore delle policy
    • JSON_OS_POLICY_ORCHESTRATOR: l'oggetto dell'orchestratore delle policy in formato JSON che definisce l'ambito dell'orchestratore, la risorsa orchestrata e lo stato dell'orchestrazione. Per ulteriori informazioni sui parametri e sul formato, vedi Resource: folders.locations.global.policyOrchestrators

    Esempio 1: crea un'assegnazione delle policy del sistema operativo che installi un file MSI di Windows

    Per creare un'assegnazione delle policy del sistema operativo che installi un file MSI di Windows scaricato da un bucket Cloud Storage utilizzando l'assegnazione delle policy del sistema operativo di esempio, completa i seguenti passaggi:

    1. Converti il campione in un file JSON.

    2. Invia la seguente richiesta:

      POST https://osconfig.googleapis.com/v2/projects/123456/locations/global/policyOrchestrators

{
"action": "UPSERT",
"orchestratedResource": {
  "osPolicyAssignmentV1Payload": {
    "instanceFilter": {
      "inventories": [
        {
          "osShortName": "windows"
        }
      ]
    },
    "osPolicies": [
    {
      "id": "install-msi-policy",
      "mode": "ENFORCEMENT",
      "resourceGroups": [
        {
          "resources": [
            {
              "id": "install-msi",
              "pkg": {
                "desiredState": "INSTALLED",
                "msi": {
                  "source": {
                    "gcs": {
                      "bucket": "my-bucket",
                      "generation": "1619136883923956",
                      "object": "my-app.msi"
                    }
                  }
                }
              }
            }
          ]
        }
      ]
    }
    ],
    "rollout": {
      "disruptionBudget": {
        "fixed": 10
      },
      "minWaitDuration": "300s"
    }
  }
},
"orchestrationScope": {
"selectors": [
  {
     "resourceHierarchySelector": {
        "includedProjects": [
        "projects/87654321",
        "projects/4567890"
        ]
      }
    }
  ]
},
"state": "ACTIVE"
}

    Esempio 2: implementa un'assegnazione delle policy del sistema operativo in progetti e zone specifici

    Per implementare l'assegnazione delle policy del sistema operativo a progetti e zone specifici, specifica resourceHierarchySelector e locationSelector come voci separate nell'elenco selectors:

    POST https://osconfig.googleapis.com/v2/projects/123456/locations/global/policyOrchestrators

  {
    "action": "UPSERT",
    "orchestratedResource": {
      "osPolicyAssignmentV1Payload": {
        "instanceFilter": {
          "inventories": [
            {
              "osShortName": "windows"
            }
          ]
        },
        "osPolicies": [
          {
            "id": "install-msi-policy",
            "mode": "ENFORCEMENT",
            "resourceGroups": [
              {
                "resources": [
                  {
                    "id": "install-msi",
                    "pkg": {
                      "desiredState": "INSTALLED",
                      "msi": {
                        "source": {
                          "gcs": {
                            "bucket": "my-bucket",
                            "generation": "1619136883923956",
                            "object": "my-app.msi"
                          }
                        }
                      }
                    }
                  }
                ]
              }
            ]
          }
        ],
        "rollout": {
          "disruptionBudget": {
            "fixed": 10
          },
          "minWaitDuration": "300s"
        }
      }
    },
    "orchestrationScope": {
      "selectors": [
        {
          "resourceHierarchySelector": {
            "includedProjects": [
              "projects/87654321",
              "projects/4567890"
            ]
          }
        },
        {
          "locationSelector": {
            "includedLocations": [
              "us-central1-a",
              "us-east1-b"
            ]
          }
        }
      ]
    },
    "state": "ACTIVE"
  }

Cartella

Console

Per creare un orchestratore delle policy e applicare le assegnazioni delle policy del sistema operativo in una cartella:

  1. Sul client locale, crea o scarica un file di policy del sistema operativo. Questo file deve essere un file JSON o YAML. Per saperne di più sulla creazione di policy del sistema operativo o per visualizzare esempi di policy del sistema operativo, consulta Policy del sistema operativo.
  2. Nella console Google Cloud , vai alla pagina Policy del sistema operativo.

    Vai a Policy del sistema operativo

  3. Fai clic sul selettore di progetti nella barra delle azioni della console Google Cloud e seleziona la cartella in cui vuoi creare l'orchestratore delle policy.
  4. Fai clic su Crea globale.
  5. Specifica un nome e una descrizione per l'orchestratore delle policy. Per saperne di più sulle convenzioni di denominazione, consulta Convenzione di denominazione delle risorse. VM Manager assegna un ID orchestratore univoco all'orchestratore delle policy. Se necessario, puoi modificare questo ID.
  6. Nella sezione Policy del sistema operativo, carica il rispettivo file.
  7. (Facoltativo) Nella sezione Stato, seleziona una delle seguenti opzioni per specificare il comportamento dell'orchestratore delle policy:
    • ACTIVE: In questo stato, l'orchestratore delle policy può intraprendere azioni non appena viene creato.
    • STOPPED: un orchestratore delle policy creato in questo stato non intraprende immediatamente alcuna azione. Puoi modificare l'orchestratore delle policy in un secondo momento per cambiarne lo stato.
  8. Nel campo Azione, seleziona l'azione UPSERT.
  9. Nella sezione Ambito di orchestrazione, specifica le cartelle e i progetti in cui vuoi implementare le policy del sistema operativo. In questi campi devi inserire solo i numeri dei progetti e delle cartelle, ad esempio 123456,7654321.
  10. Seleziona le zone che contengono le VM a cui vuoi applicare le policy del sistema operativo. In alternativa, fai clic su Seleziona tutto per applicare le modifiche alle policy del sistema operativo alle risorse in tutte le zone.
  11. (Facoltativo) Nella sezione Istanze VM di destinazione, specifica le VM di destinazione a cui vuoi applicare le policy del sistema operativo.
    • Seleziona il nome e la versione del sistema operativo. Per saperne di più, consulta Assegnazioni delle policy del sistema operativo.
    • Puoi filtrare ulteriormente le VM specificando le etichette di inclusione ed esclusione.

      Ad esempio, puoi selezionare tutte le VM Ubuntu nel tuo ambiente di test ed escludere quelle su cui è in esecuzione Google Kubernetes Engine specificando quanto segue:

      • Nome breve del sistema operativo: ubuntu
      • Includi: env:test, env:staging
      • Escludi: goog-gke-node
  12. Specifica un piano di rollout per l'assegnazione delle policy del sistema operativo.
    • Specifica la dimensione di wave (detta anche budget di interruzione). Ad esempio: 10%.
    • Specifica il tempo di attesa. Ad esempio, 15 minuti.
  13. Fai clic su Crea.

gcloud

Per creare un orchestratore delle policy, completa i seguenti passaggi:

  1. Crea o scarica un file di assegnazione delle policy del sistema operativo in formato JSON o YAML. Per ulteriori informazioni su questo file e sugli esempi di assegnazioni delle policy, consulta Assegnazioni delle policy del sistema operativo.

  2. Utilizza il comando os-config policy-orchestrators create per creare e implementare l'assegnazione delle policy del sistema operativo nell'ambito specificato.

      gcloud --billing-project=QUOTA_PROJECT_ID compute os-config policy-orchestrators create ORCHESTRATOR_NAME \
    --folder=FOLDER_NUMBER \
    --policy-type=os_policy_assignment_v1 \
    --policy-file=OS_POLICY_ASSIGNMENT_YAML_FILE \
    --policy-id=POLICY_ID \
    --include-projects=PROJECT_NUMBERS

    Sostituisci quanto segue:

    • QUOTA_PROJECT_ID: l'ID progetto della quota o del progetto di fatturazione
    • ORCHESTRATOR_NAME: il nome dell'orchestratore delle policy Consulta Convenzione di denominazione delle risorse.
    • FOLDER_NUMBER: il numero della cartella in cui vuoi creare l'orchestratore delle policy.
    • OS_POLICY_ASSIGNMENT_FILE: il percorso assoluto del file di assegnazione delle policy del sistema operativo creato nel passaggio precedente.
    • POLICY_ID: un ID univoco per l'orchestratore delle policy Se non specifichi un valore, l'orchestratore delle policy assegna un ID univoco alla risorsa dell'orchestratore.
    • PROJECT_NUMBERS: un elenco di progetti per cui vuoi applicare le assegnazioni delle policy del sistema operativo. Devi specificare i numeri di progetto, ovvero l'ID numerico univoco dei progetti.

    Esempio

      gcloud --billing-project=my-quota-project compute os-config policy-orchestrators create my-os-policy-orchestrator \
      --folder=123456 \
      --policy-type=os_policy_assignment_v1 \
      --policy-file=/downloads/assignment-config.yaml \
      --policy-id=policy-123 \
      --include-projects=87654321,4567890

REST

Per creare un orchestratore delle policy, completa i seguenti passaggi:

  1. Crea o scarica un file di assegnazione delle policy del sistema operativo. Questo file deve essere in formato JSON. Per ulteriori informazioni sulla creazione di assegnazioni delle policy del sistema operativo o per visualizzare esempi di assegnazioni delle policy del sistema operativo, consulta Assegnazione delle policy del sistema operativo.

  2. A seconda dell'ambito in cui crei l'orchestratore delle policy, utilizza uno dei seguenti metodi:

    Invia una richiesta POST al metodo folders.locations.global.policyOrchestrators.create.

    Nel corpo della richiesta, incolla le specifiche di assegnazione delle policy del sistema operativo del passaggio precedente.

    POST https://osconfig.googleapis.com/v2/folders/FOLDER_NUMBER/locations/global/policyOrchestrators
-H "x-goog-user-project: QUOTA_PROJECT_ID"

{
  JSON_OS_POLICY_ORCHESTRATOR
}

    Sostituisci quanto segue:

    • QUOTA_PROJECT_ID: l'ID progetto della quota o del progetto di fatturazione.
    • FOLDER_NUMBER: l'ID numerico della cartella in cui vuoi creare l'orchestratore delle policy
    • JSON_OS_POLICY_ORCHESTRATOR: l'oggetto dell'orchestratore delle policy in formato JSON che definisce l'ambito dell'orchestratore, la risorsa orchestrata e lo stato dell'orchestrazione. Per ulteriori informazioni sui parametri e sul formato, vedi Resource: folders.locations.global.policyOrchestrators

    Esempio 1: crea un'assegnazione delle policy del sistema operativo che installi un file MSI di Windows

    Per creare un'assegnazione delle policy del sistema operativo che installi un file MSI di Windows scaricato da un bucket Cloud Storage utilizzando l'assegnazione delle policy del sistema operativo di esempio, completa i seguenti passaggi:

    1. Converti il campione in un file JSON.

    2. Invia la seguente richiesta:

      POST https://osconfig.googleapis.com/v2/folders/123456/locations/global/policyOrchestrators \
-H "x-goog-user-project: my-quota-project

{
"action": "UPSERT",
"orchestratedResource": {
  "osPolicyAssignmentV1Payload": {
    "instanceFilter": {
      "inventories": [
        {
          "osShortName": "windows"
        }
      ]
    },
    "osPolicies": [
    {
      "id": "install-msi-policy",
      "mode": "ENFORCEMENT",
      "resourceGroups": [
        {
          "resources": [
            {
              "id": "install-msi",
              "pkg": {
                "desiredState": "INSTALLED",
                "msi": {
                  "source": {
                    "gcs": {
                      "bucket": "my-bucket",
                      "generation": "1619136883923956",
                      "object": "my-app.msi"
                    }
                  }
                }
              }
            }
          ]
        }
      ]
    }
    ],
    "rollout": {
      "disruptionBudget": {
        "fixed": 10
      },
      "minWaitDuration": "300s"
    }
  }
},
"orchestrationScope": {
"selectors": [
  {
     "resourceHierarchySelector": {
        "includedProjects": [
        "projects/87654321",
        "projects/4567890"
        ]
      }
    }
  ]
},
"state": "ACTIVE"
}

    Esempio 2: implementa un'assegnazione delle policy del sistema operativo in progetti e zone specifici

    Specifica resourceHierarchySelector e locationSelector come voci separate nell'elenco selectors:

    POST https://osconfig.googleapis.com/v2/folders/123456/locations/global/policyOrchestrators \
  -H "x-goog-user-project: my-quota-project"

  {
    "action": "UPSERT",
    "orchestratedResource": {
      "osPolicyAssignmentV1Payload": {
        "instanceFilter": {
          "inventories": [
            {
              "osShortName": "windows"
            }
          ]
        },
        "osPolicies": [
          {
            "id": "install-msi-policy",
            "mode": "ENFORCEMENT",
            "resourceGroups": [
              {
                "resources": [
                  {
                    "id": "install-msi",
                    "pkg": {
                      "desiredState": "INSTALLED",
                      "msi": {
                        "source": {
                          "gcs": {
                            "bucket": "my-bucket",
                            "generation": "1619136883923956",
                            "object": "my-app.msi"
                          }
                        }
                      }
                    }
                  }
                ]
              }
            ]
          }
        ],
        "rollout": {
          "disruptionBudget": {
            "fixed": 10
          },
          "minWaitDuration": "300s"
        }
      }
    },
    "orchestrationScope": {
      "selectors": [
        {
          "resourceHierarchySelector": {
            "includedProjects": [
              "projects/87654321",
              "projects/4567890"
            ]
          }
        },
        {
          "locationSelector": {
            "includedLocations": [
              "us-central1-a",
              "us-east1-b"
            ]
          }
        }
      ]
    },
    "state": "ACTIVE"
  }

Organizzazione

Console

Per creare un orchestratore delle policy e applicare le assegnazioni delle policy del sistema operativo in un'organizzazione:

  1. Sul client locale, crea o scarica un file di policy del sistema operativo. Questo file deve essere un file JSON o YAML. Per saperne di più sulla creazione di policy del sistema operativo o per visualizzare esempi di policy del sistema operativo, consulta Policy del sistema operativo.
  2. Nella console Google Cloud , vai alla pagina Policy del sistema operativo.

    Vai a Policy del sistema operativo

  3. Fai clic sul selettore di progetti nella barra delle azioni della console Google Cloud e seleziona l'organizzazione in cui vuoi creare l'orchestratore delle policy.
  4. Fai clic su Crea globale.
  5. Specifica un nome e una descrizione per l'orchestratore delle policy. Per saperne di più sulle convenzioni di denominazione, consulta Convenzione di denominazione delle risorse. VM Manager assegna un ID orchestratore univoco all'orchestratore delle policy. Se necessario, puoi modificare questo ID.
  6. Nella sezione Policy del sistema operativo, carica il rispettivo file.
  7. (Facoltativo) Nella sezione Stato, seleziona una delle seguenti opzioni per specificare il comportamento dell'orchestratore delle policy:
    • ACTIVE: In questo stato, l'orchestratore delle policy può intraprendere azioni non appena viene creato.
    • STOPPED: un orchestratore delle policy creato in questo stato non intraprende immediatamente alcuna azione. Puoi modificare l'orchestratore delle policy in un secondo momento per cambiarne lo stato.
  8. Nel campo Azione, seleziona l'azione UPSERT.
  9. Nella sezione Ambito di orchestrazione, specifica le cartelle e i progetti in cui vuoi implementare le policy del sistema operativo. In questi campi devi inserire solo i numeri dei progetti e delle cartelle, ad esempio 123456,7654321.
  10. Seleziona le zone che contengono le VM a cui vuoi applicare le policy del sistema operativo. In alternativa, fai clic su Seleziona tutto per applicare le modifiche alle policy del sistema operativo alle risorse in tutte le zone.
  11. (Facoltativo) Nella sezione Istanze VM di destinazione, specifica le VM di destinazione a cui vuoi applicare le policy del sistema operativo.
    • Seleziona il nome e la versione del sistema operativo. Per saperne di più, consulta Assegnazioni delle policy del sistema operativo.
    • Puoi filtrare ulteriormente le VM specificando le etichette di inclusione ed esclusione.

      Ad esempio, puoi selezionare tutte le VM Ubuntu nel tuo ambiente di test ed escludere quelle su cui è in esecuzione Google Kubernetes Engine specificando quanto segue:

      • Nome breve del sistema operativo: ubuntu
      • Includi: env:test, env:staging
      • Escludi: goog-gke-node
  12. Specifica un piano di rollout per l'assegnazione delle policy del sistema operativo.
    • Specifica la dimensione di wave (detta anche budget di interruzione). Ad esempio: 10%.
    • Specifica il tempo di attesa. Ad esempio, 15 minuti.
  13. Fai clic su Crea.

gcloud

Per creare un orchestratore delle policy, completa i seguenti passaggi:

  1. Crea o scarica una risorsa di assegnazione delle policy del sistema operativo in formato JSON o YAML. Per ulteriori informazioni su questo file e sugli esempi di assegnazioni delle policy, consulta Assegnazioni delle policy del sistema operativo.

  2. Utilizza il comando os-config policy-orchestrators create per creare e implementare l'assegnazione delle policy del sistema operativo nell'ambito specificato.

      gcloud --billing-project=QUOTA_PROJECT_ID compute os-config policy-orchestrators create ORCHESTRATOR_NAME \
    --organization=ORGANIZATION_NUMBER \
    --policy-type=os_policy_assignment_v1 \
    --policy-file=OS_POLICY_ASSIGNMENT_YAML_FILE \
    --policy-id=POLICY_ID \
    --include-projects=PROJECT_NUMBERS

    Sostituisci quanto segue:

    • QUOTA_PROJECT_ID: l'ID progetto della quota o del progetto di fatturazione
    • ORCHESTRATOR_NAME: il nome dell'orchestratore delle policy Consulta Convenzione di denominazione delle risorse.
    • FOLDER_NUMBER: il numero della cartella in cui vuoi creare l'orchestratore delle policy.
    • OS_POLICY_ASSIGNMENT_FILE: il percorso assoluto del file di assegnazione delle policy del sistema operativo creato nel passaggio precedente.
    • POLICY_ID: un ID univoco per l'orchestratore delle policy Se non specifichi un valore, l'orchestratore delle policy assegna un ID univoco alla risorsa dell'orchestratore.
    • PROJECT_NUMBERS: un elenco di progetti per cui vuoi applicare le assegnazioni delle policy del sistema operativo. Devi specificare i numeri di progetto, ovvero l'ID numerico univoco dei progetti.

    Esempio

      gcloud --billing-project=my-quota-project compute os-config policy-orchestrators create my-os-policy-orchestrator \
      --organization=123456 \
      --policy-type=os_policy_assignment_v1 \
      --policy-file=/downloads/assignment-config.yaml \
      --policy-id=policy-123 \
      --include-projects=87654321,4567890

REST

Per creare un orchestratore delle policy, completa i seguenti passaggi:

  1. Crea o scarica un file di assegnazione delle policy del sistema operativo. Questo file deve essere un file JSON. Per ulteriori informazioni sulla creazione di assegnazioni delle policy del sistema operativo o per visualizzare esempi di assegnazioni delle policy del sistema operativo, consulta Assegnazione delle policy del sistema operativo.

  2. A seconda dell'ambito in cui crei l'orchestratore delle policy, utilizza uno dei seguenti metodi:

    Invia una richiesta POST al metodo organizations.locations.global.policyOrchestrators.create.

    Nel corpo della richiesta, incolla le specifiche di assegnazione delle policy del sistema operativo del passaggio precedente.

    POST https://osconfig.googleapis.com/v2/organizations/ORGANIZATION_NUMBER/locations/global/policyOrchestrators \
-H "x-goog-user-project: QUOTA_PROJECT_ID"

  {
      JSON_OS_POLICY_ORCHESTRATOR
  }

    Sostituisci quanto segue:

    • QUOTA_PROJECT_ID: l'ID progetto della quota o del progetto di fatturazione.
    • ORGANIZATION_NUMBER: l'ID numerico dell'organizzazione in cui vuoi creare l'orchestratore delle policy
    • JSON_OS_POLICY_ORCHESTRATOR: l'oggetto dell'orchestratore delle policy in formato JSON che definisce l'ambito dell'orchestratore, la risorsa orchestrata e lo stato dell'orchestrazione. Per ulteriori informazioni sui parametri e sul formato, vedi Resource: organizations.locations.global.policyOrchestrators

    Esempio 1: crea un'assegnazione delle policy del sistema operativo che installi un file MSI di Windows

    Converti l'assegnazione delle policy del sistema operativo di esempio in JSON e invia la seguente richiesta:

        POST https://osconfig.googleapis.com/v2/organizations/567890/locations/global/policyOrchestrators 
    
    -H "x-goog-user-project: my-quota-project
    {
    "action": "UPSERT",
    "orchestratedResource": {
      "osPolicyAssignmentV1Payload": {
        "instanceFilter": {
          "inventories": [
            {
              "osShortName": "windows"
            }
          ]
        },
        "osPolicies": [
        {
          "id": "install-msi-policy",
          "mode": "ENFORCEMENT",
          "resourceGroups": [
            {
              "resources": [
                {
                  "id": "install-msi",
                  "pkg": {
                    "desiredState": "INSTALLED",
                    "msi": {
                      "source": {
                        "gcs": {
                          "bucket": "my-bucket",
                          "generation": "1619136883923956",
                          "object": "my-app.msi"
                        }
                      }
                    }
                  }
                }
              ]
            }
          ]
        }
        ],
        "rollout": {
          "disruptionBudget": {
            "fixed": 10
          },
          "minWaitDuration": "300s"
        }
      }
  },
  "orchestrationScope": {
    "selectors": [
      {
         "resourceHierarchySelector": {
            "includedProjects": [
            "projects/87654321",
            "projects/4567890"
            ]
          }
        }
      ]
   },
    "state": "ACTIVE"
  }

    Esempio 2: implementa un'assegnazione delle policy del sistema operativo in progetti e zone specifici

    Specifica resourceHierarchySelector e locationSelector come voci separate nell'elenco selectors:

      POST https://osconfig.googleapis.com/v2/organizations/567890/locations/global/policyOrchestrators \
  -H "x-goog-user-project: my-quota-project"

  {
    "action": "UPSERT",
    "orchestratedResource": {
      "osPolicyAssignmentV1Payload": {
        "instanceFilter": {
          "inventories": [
            {
              "osShortName": "windows"
            }
          ]
        },
        "osPolicies": [
          {
            "id": "install-msi-policy",
            "mode": "ENFORCEMENT",
            "resourceGroups": [
              {
                "resources": [
                  {
                    "id": "install-msi",
                    "pkg": {
                      "desiredState": "INSTALLED",
                      "msi": {
                        "source": {
                          "gcs": {
                            "bucket": "my-bucket",
                            "generation": "1619136883923956",
                            "object": "my-app.msi"
                          }
                        }
                      }
                    }
                  }
                ]
              }
            ]
          }
        ],
        "rollout": {
          "disruptionBudget": {
            "fixed": 10
          },
          "minWaitDuration": "300s"
        }
      }
    },
    "orchestrationScope": {
      "selectors": [
        {
          "resourceHierarchySelector": {
            "includedProjects": [
              "projects/87654321",
              "projects/4567890"
            ]
          }
        },
        {
          "locationSelector": {
            "includedLocations": [
              "us-central1-a",
              "us-east1-b"
            ]
          }
        }
      ]
    },
    "state": "ACTIVE"
  }

Elimina le assegnazioni delle policy del sistema operativo da più progetti

Puoi utilizzare l'orchestratore delle policy per eliminare le policy del sistema operativo da più progetti nella tua cartella o organizzazione specificando l'ID policy univoco per la risorsa policy del sistema operativo.

Progetto

Console

Per eliminare le assegnazioni delle policy del sistema operativo in un progetto:

  1. Sul client locale, crea o scarica un file di policy del sistema operativo. Questo file deve essere un file JSON o YAML. Per ulteriori informazioni sulla creazione di policy del sistema operativo o per visualizzare policy del sistema operativo di esempio, consulta Policy del sistema operativo.
  2. Nella console Google Cloud , vai alla pagina Policy del sistema operativo.

    Vai a Policy del sistema operativo

  3. Fai clic sul selettore di progetti nella barra delle azioni della console Google Cloud e seleziona il progetto da cui vuoi eliminare le assegnazioni di policy del sistema operativo.
  4. Fai clic su Crea globale.
  5. Specifica un nome e una descrizione per l'orchestratore delle policy. Consulta Convenzione di denominazione delle risorse. VM Manager assegna un ID orchestratore univoco all'orchestratore delle policy. Se necessario, puoi modificare questo ID.
  6. Nella sezione Policy del sistema operativo, seleziona e carica il file della policy del sistema operativo che vuoi eliminare.
  7. (Facoltativo) Nella sezione Stato, seleziona una delle seguenti opzioni per specificare il comportamento dell'orchestratore delle policy:
    • ACTIVE: In questo stato, l'orchestratore delle policy può intraprendere azioni non appena viene creato.
    • STOPPED: un orchestratore delle policy creato in questo stato non intraprende immediatamente alcuna azione. Puoi modificare l'orchestratore delle policy in un secondo momento per cambiarne lo stato.
  8. Nel campo Azione, seleziona l'azione ELIMINA.
  9. Nella sezione Ambito di orchestrazione, specifica le cartelle e i progetti da cui vuoi eliminare le assegnazioni delle policy del sistema operativo. In questi campi devi inserire solo i numeri dei progetti e delle cartelle, ad esempio 123456,7654321.
  10. Seleziona le zone che contengono le VM da cui vuoi eliminare le assegnazioni delle policy del sistema operativo.
  11. (Facoltativo) Nella sezione Istanze VM di destinazione, specifica le VM di destinazione da cui vuoi eliminare le assegnazioni delle policy del sistema operativo.
    • Seleziona le famiglie di sistemi operativi.
    • Puoi filtrare ulteriormente le VM specificando le etichette di inclusione ed esclusione.

      Ad esempio, puoi selezionare tutte le VM Ubuntu nel tuo ambiente di test ed escludere quelle su cui è in esecuzione Google Kubernetes Engine specificando quanto segue:

      • Nome breve del sistema operativo: ubuntu
      • Includi: env:test, env:staging
      • Escludi: goog-gke-node
  12. Specifica un piano di rollout per l'eliminazione dell'assegnazione delle policy del sistema operativo.
    • Specifica la dimensione di wave (detta anche budget di interruzione). Ad esempio: 10%.
    • Specifica il tempo di attesa. Ad esempio, 15 minuti.
  13. Fai clic su Crea.

gcloud

Per eliminare le policy del sistema operativo da più progetti utilizzando un orchestratore delle policy, utilizza il comando os-config policy-orchestrators create e specifica l'azione come delete per policy-id associato all'assegnazione delle policy del sistema operativo.

    gcloud compute os-config policy-orchestrators create ORCHESTRATOR_NAME \
      --policy-type=os_policy_assignment_v1 \
      --policy-file=OS_POLICY_ASSIGNMENT_FILE \
      --policy-id=POLICY_ID \
      --action=delete

Sostituisci quanto segue:

  • ORCHESTRATOR_NAME: il nome dell'orchestratore delle policy
  • OS_POLICY_ASSIGNMENT_FILE: il percorso assoluto del file di assegnazione delle policy del sistema operativo.
  • POLICY_ID: l'ID policy per la risorsa dell'orchestratore delle policy del sistema operativo.

Esempio

   gcloud compute os-config policy-orchestrators create my-os-policy-orchestrator \
     --policy-type=os_policy_assignment_v1
     --policy-id=my-policy \
     --action=delete

REST

Per creare un orchestratore delle policy che elimini le policy del sistema operativo da più progetti, utilizza uno dei seguenti metodi e specifica l'azione come DELETE:

Invia una richiesta POST al metodo projects.locations.global.policyOrchestrators.create.

Nel corpo della richiesta, specifica l'ID policy associato all'assegnazione delle policy del sistema operativo.

  POST https://osconfig.googleapis.com/v2/projects/PROJECT_NUMBER/locations/global/policyOrchestrators

    {
        JSON_OS_POLICY_ORCHESTRATOR
    }

Sostituisci quanto segue:

  • PROJECT_NUMBER: l'ID numerico del progetto in cui vuoi creare l'orchestratore delle policy

  • JSON_OS_POLICY_ORCHESTRATOR: l'oggetto dell'orchestratore delle policy in formato JSON che definisce l'ambito dell'orchestratore, la risorsa orchestrata e lo stato dell'orchestrazione. Per ulteriori informazioni sui parametri e sul formato, vedi Resource: folders.locations.global.policyOrchestrators

    Esempio

    POST https://osconfig.googleapis.com/v2/projects/567890/locations/global/policyOrchestrators

{
  "action": "DELETE",
  "orchestratedResource": {
    "id": "my-policy",
    "osPolicyAssignmentV1Payload": {}
  },
  "orchestrationScope": {
    "selectors": [
      {
        "resourceHierarchySelector": {
          "includedProjects": [
            "projects/87654321",
            "projects/4567890"
          ]
        }
      }
    ]
  },
  "state": "ACTIVE"
}

Cartella

Console

Per eliminare le assegnazioni delle policy del sistema operativo in una cartella:

  1. Sul client locale, crea o scarica un file di policy del sistema operativo. Questo file deve essere un file JSON o YAML. Per ulteriori informazioni sulla creazione di policy del sistema operativo o per visualizzare policy del sistema operativo di esempio, consulta Policy del sistema operativo.
  2. Nella console Google Cloud , vai alla pagina Policy del sistema operativo.

    Vai a Policy del sistema operativo

  3. Fai clic sul selettore di progetti nella barra delle azioni della console Google Cloud e seleziona la cartella da cui vuoi eliminare le assegnazioni delle policy del sistema operativo.
  4. Fai clic su Crea globale.
  5. Specifica un nome e una descrizione per l'orchestratore delle policy. Consulta Convenzione di denominazione delle risorse. VM Manager assegna un ID orchestratore univoco all'orchestratore delle policy. Se necessario, puoi modificare questo ID.
  6. Nella sezione Policy del sistema operativo, seleziona e carica il file della policy del sistema operativo che vuoi eliminare.
  7. (Facoltativo) Nella sezione Stato, seleziona una delle seguenti opzioni per specificare il comportamento dell'orchestratore delle policy:
    • ACTIVE: In questo stato, l'orchestratore delle policy può intraprendere azioni non appena viene creato.
    • STOPPED: un orchestratore delle policy creato in questo stato non intraprende immediatamente alcuna azione. Puoi modificare l'orchestratore delle policy in un secondo momento per cambiarne lo stato.
  8. Nel campo Azione, seleziona l'azione ELIMINA.
  9. Nella sezione Ambito di orchestrazione, specifica le cartelle e i progetti da cui vuoi eliminare le assegnazioni delle policy del sistema operativo. In questi campi devi inserire solo i numeri dei progetti e delle cartelle, ad esempio 123456,7654321.
  10. Seleziona le zone che contengono le VM da cui vuoi eliminare le assegnazioni delle policy del sistema operativo.
  11. (Facoltativo) Nella sezione Istanze VM di destinazione, specifica le VM di destinazione da cui vuoi eliminare le assegnazioni delle policy del sistema operativo.
    • Seleziona le famiglie di sistemi operativi.
    • Puoi filtrare ulteriormente le VM specificando le etichette di inclusione ed esclusione.

      Ad esempio, puoi selezionare tutte le VM Ubuntu nel tuo ambiente di test ed escludere quelle su cui è in esecuzione Google Kubernetes Engine specificando quanto segue:

      • Nome breve del sistema operativo: ubuntu
      • Includi: env:test, env:staging
      • Escludi: goog-gke-node
  12. Specifica un piano di rollout per l'eliminazione dell'assegnazione delle policy del sistema operativo.
    • Specifica la dimensione di wave (detta anche budget di interruzione). Ad esempio: 10%.
    • Specifica il tempo di attesa. Ad esempio, 15 minuti.
  13. Fai clic su Crea.

gcloud

Per eliminare le policy del sistema operativo da più progetti utilizzando un orchestratore delle policy, utilizza il comando os-config policy-orchestrators create e specifica l'azione come delete per policy-id associato all'assegnazione delle policy del sistema operativo.

    gcloud --billing-project=QUOTA_PROJECT_ID compute os-config policy-orchestrators create ORCHESTRATOR_NAME \
      --policy-type=os_policy_assignment_v1 \
      --policy-id=POLICY_ID \
      --action=delete

Sostituisci quanto segue:

  • QUOTA_PROJECT_ID: l'ID progetto della quota o del progetto di fatturazione.
  • ORCHESTRATOR_NAME: il nome dell'orchestratore delle policy
  • FOLDER_NUMBER: l'ID numerico della cartella da cui vuoi eliminare le risorse delle policy del sistema operativo
  • POLICY_ID: l'ID policy per la risorsa dell'orchestratore delle policy del sistema operativo.

Esempio

  gcloud --billing-project=my-quota-project compute os-config policy-orchestrators create my-os-policy-orchestrator \
    --folder=123456 \
    --policy-type=os_policy_assignment_v1 \
    --policy-id=my-policy \
    --action=delete

REST

Per creare un orchestratore delle policy che elimini le policy del sistema operativo da più progetti, utilizza uno dei seguenti metodi e specifica l'azione come DELETE:

Invia una richiesta POST al metodo folders.locations.global.policyOrchestrators.create.

Nel corpo della richiesta, specifica l'ID policy associato all'assegnazione delle policy del sistema operativo.

 POST https://osconfig.googleapis.com/v2/folders/FOLDER_NUMBER/locations/global/policyOrchestrators
-H "x-goog-user-project: QUOTA_PROJECT_ID"

 {
    JSON_OS_POLICY_ORCHESTRATOR
 }

Sostituisci quanto segue:

  • QUOTA_PROJECT_ID: l'ID progetto della quota o del progetto di fatturazione.
  • FOLDER_NUMBER: l'ID numerico della cartella da cui vuoi eliminare le risorse delle policy del sistema operativo
  • JSON_OS_POLICY_ORCHESTRATOR: l'oggetto dell'orchestratore delle policy in formato JSON che definisce l'ID policy, l'ambito dell'orchestratore, la risorsa orchestrata e lo stato dell'orchestrazione. Per ulteriori informazioni sui parametri e sul formato, vedi Resource: folders.locations.global.policyOrchestrators

Esempio

Ad esempio, per eliminare le risorse delle policy del sistema operativo da più progetti, effettua la seguente richiesta:

   POST https://osconfig.googleapis.com/v2/folders/567890/locations/global/policyOrchestrators
   -H "x-goog-user-project: my-quota-project



{
      "action": "DELETE",
      "orchestratedResource": {
        "id": "my-policy",
        "osPolicyAssignmentV1Payload": {}
      },
      "orchestrationScope": {
        "selectors": [
          {
            "resourceHierarchySelector": {
              "includedProjects": [
                "projects/87654321",
                "projects/4567890"
              ]
            }
          }
        ]
      },
      "state": "ACTIVE"
    }

Organizzazione

Console

Per eliminare le assegnazioni delle policy del sistema operativo in un'organizzazione:

  1. Sul client locale, crea o scarica un file di policy del sistema operativo. Questo file deve essere un file JSON o YAML. Per ulteriori informazioni sulla creazione di policy del sistema operativo o per visualizzare policy del sistema operativo di esempio, consulta Policy del sistema operativo.
  2. Nella console Google Cloud , vai alla pagina Policy del sistema operativo.

    Vai a Policy del sistema operativo

  3. Fai clic sul selettore di progetti nella barra delle azioni della console Google Cloud e seleziona l'organizzazione da cui vuoi eliminare le assegnazioni di policy del sistema operativo.
  4. Fai clic su Crea globale.
  5. Specifica un nome e una descrizione per l'orchestratore delle policy. Consulta Convenzione di denominazione delle risorse. VM Manager assegna un ID orchestratore univoco all'orchestratore delle policy. Se necessario, puoi modificare questo ID.
  6. Nella sezione Policy del sistema operativo, seleziona e carica il file della policy del sistema operativo che vuoi eliminare.
  7. (Facoltativo) Nella sezione Stato, seleziona una delle seguenti opzioni per specificare il comportamento dell'orchestratore delle policy:
    • ACTIVE: In questo stato, l'orchestratore delle policy può intraprendere azioni non appena viene creato.
    • STOPPED: un orchestratore delle policy creato in questo stato non intraprende immediatamente alcuna azione. Puoi modificare l'orchestratore delle policy in un secondo momento per cambiarne lo stato.
  8. Nel campo Azione, seleziona l'azione ELIMINA.
  9. Nella sezione Ambito di orchestrazione, specifica le cartelle e i progetti da cui vuoi eliminare le assegnazioni delle policy del sistema operativo. In questi campi devi inserire solo i numeri dei progetti e delle cartelle, ad esempio 123456,7654321.
  10. Seleziona le zone che contengono le VM da cui vuoi eliminare le assegnazioni delle policy del sistema operativo.
  11. (Facoltativo) Nella sezione Istanze VM di destinazione, specifica le VM di destinazione da cui vuoi eliminare le assegnazioni delle policy del sistema operativo.
    • Seleziona le famiglie di sistemi operativi.
    • Puoi filtrare ulteriormente le VM specificando le etichette di inclusione ed esclusione.

      Ad esempio, puoi selezionare tutte le VM Ubuntu nel tuo ambiente di test ed escludere quelle su cui è in esecuzione Google Kubernetes Engine specificando quanto segue:

      • Nome breve del sistema operativo: ubuntu
      • Includi: env:test, env:staging
      • Escludi: goog-gke-node
  12. Specifica un piano di rollout per l'eliminazione dell'assegnazione delle policy del sistema operativo.
    • Specifica la dimensione di wave (detta anche budget di interruzione). Ad esempio: 10%.
    • Specifica il tempo di attesa. Ad esempio, 15 minuti.
  13. Fai clic su Crea.

gcloud

Per eliminare le policy del sistema operativo da più progetti utilizzando un orchestratore delle policy, utilizza il comando os-config policy-orchestrators create e specifica l'azione come delete per policy-id associato all'assegnazione delle policy del sistema operativo.

  gcloud --billing-project=QUOTA_PROJECT_ID compute os-config policy-orchestrators create ORCHESTRATOR_NAME \
    --organization=ORGANIZATION_NUMBER \
    --policy-type=os_policy_assignment_v1 \
    --policy-id=POLICY_ID \
    --action=delete

Sostituisci quanto segue:

  • QUOTA_PROJECT_ID: l'ID progetto della quota o del progetto di fatturazione.
  • ORCHESTRATOR_NAME: il nome dell'orchestratore delle policy
  • ORGANIZATION_NUMBER: l'ID numerico dell'organizzazione da cui vuoi eliminare le risorse delle policy del sistema operativo.
  • POLICY_ID: l'ID policy per la risorsa dell'orchestratore delle policy del sistema operativo.

Esempio

  gcloud --billing-project=my-quota-project compute os-config policy-orchestrators create my-os-policy-orchestrator \
    --organization=987654321
    --policy-type=os_policy_assignment_v1
    --policy-id=my-policy \
    --action=delete

REST

Per creare un orchestratore delle policy che elimini le policy del sistema operativo da più progetti, utilizza uno dei seguenti metodi e specifica l'azione come DELETE:

Invia una richiesta POST al metodo organizations.locations.global.policyOrchestrators.create.

Nel corpo della richiesta, specifica l'ID policy associato all'assegnazione delle policy del sistema operativo.

 POST https://osconfig.googleapis.com/v2/organizations/ORGANIZATION_NUMBER/locations/global/policyOrchestrators
-H "x-goog-user-project: QUOTA_PROJECT_ID"

{
    JSON_OS_POLICY_ORCHESTRATOR
}

Sostituisci quanto segue:

  • QUOTA_PROJECT_ID: l'ID progetto della quota o del progetto di fatturazione.
  • ORGANIZATION_NUMBER: l'ID numerico dell'organizzazione da cui vuoi eliminare le risorse delle policy del sistema operativo.
  • JSON_OS_POLICY_ORCHESTRATOR: l'oggetto dell'orchestratore delle policy in formato JSON che definisce l'ID policy, l'ambito dell'orchestratore, la risorsa orchestrata e lo stato dell'orchestrazione. Per ulteriori informazioni sui parametri e sul formato, vedi Resource: organizations.locations.global.policyOrchestrators

Esempio

Ad esempio, per eliminare le risorse delle policy del sistema operativo da più progetti, invia la seguente richiesta:

  POST https://osconfig.googleapis.com/v2/organizations/567890/locations/global/policyOrchestrators
  -H "x-goog-user-project: my-quota-project



{
      "action": "DELETE",
      "orchestratedResource": {
        "id": "my-policy",
        "osPolicyAssignmentV1Payload": {}
      },
      "orchestrationScope": {
        "selectors": [
          {
            "resourceHierarchySelector": {
              "includedProjects": [
                "projects/87654321",
                "projects/4567890"
              ]
            }
          }
        ]
      },
      "state": "ACTIVE"
    }

Passaggi successivi