אכיפת השימוש ב-Confidential VM

כדי לוודא שכל מכונות ה-VM שנוצרו בארגון הן מכונות Confidential VM, אפשר להשתמש באילוץ על מדיניות הארגון.

התפקידים הנדרשים

כדי לקבל את ההרשאות שדרושות לניהול מדיניות הארגון, צריך לבקש מהאדמין להקצות לכם את תפקיד ה-IAM‏ Organization Policy Administrator (אדמין של מדיניות הארגון) ‏(roles/orgpolicy.policyAdmin) בארגון. כדי לקרוא הסבר על מתן תפקידים, ראו איך מנהלים את הגישה ברמת הפרויקט, התיקייה והארגון.

זהו תפקיד שמוגדר מראש וכולל את ההרשאות שנדרשות לניהול מדיניות הארגון. כדי לראות בדיוק אילו הרשאות נדרשות, אפשר להרחיב את הקטע ההרשאות הנדרשות:

ההרשאות הנדרשות

כדי לנהל את מדיניות הארגון, נדרשות ההרשאות הבאות:

• orgpolicy.constraints.list
• orgpolicy.policies.create
• orgpolicy.policies.delete
• orgpolicy.policies.list
• orgpolicy.policies.update
• orgpolicy.policy.get
• orgpolicy.policy.set

יכול להיות שתקבלו את ההרשאות האלה באמצעות תפקידים בהתאמה אישית או תפקידים מוגדרים מראש אחרים.

הפעלת האילוץ

כדי להפעיל את האילוץ על מכונות וירטואליות, פועלים לפי ההוראות הבאות:

המסוף

1. במסוף Google Cloud , נכנסים לדף מדיניות הארגון:

   מעבר למדיניות הארגון

2. לוחצים על תיבת הבורר בחלק העליון של הדף ובוחרים את הארגון שרוצים להחיל עליו את ההגבלה. כדי להחיל את ההגבלה על פרויקט, בוחרים פרויקט במקום זאת.

3. בתיבת המסנן, מזינים restrict non-confidential computing ולוחצים על המדיניות הגבלת שימוש בשיטות חישוב לא סודיות.

4. בדף פרטי המדיניות של הגבלת שימוש בטכנולוגיית מחשוב לא חסויה, לוחצים על ניהול המדיניות.

   הערה: אם האפשרות Manage policy מושבתת, אין לכם הרשאה להגדיר מדיניות ארגונית.

5. בקטע חל על, לוחצים על התאמה אישית.

6. בקטע Policy enforcement (אכיפת מדיניות), בוחרים באחת מהאפשרויות הבאות:

   • מיזוג עם ההורה. מיזוג הגדרת המדיניות החדשה עם הגדרת המדיניות של ארגון אב.

   • החלפה. החלפת הגדרת המדיניות הנוכחית והתעלמות מההגדרה של ארגון האב.

7. בקטע Rules, לוחצים על Add a rule.

8. בתיבה ערכי מדיניות, בוחרים באפשרות מותאם אישית ומגדירים את סוג המדיניות לדחייה.

9. בתיבה Custom values (ערכים בהתאמה אישית), מזינים את compute.googleapis.com בתור API service name (שם שירות ה-API) שרוצים לאכוף עליו את המדיניות.

10. לוחצים על סיום.

11. לוחצים על הגדרת מדיניות.

gcloud

gcloud resource-manager org-policies deny \
    constraints/compute.restrictNonConfidentialComputing compute.googleapis.com \
    --organization=ORGANIZATION_ID

מציינים את הערך הבא:

• ‫ORGANIZATION_ID: המזהה של הארגון שאליו רוצים להוסיף את האילוץ.

  איך מוצאים את Google Cloud מספר הארגון

  המסוף

  כדי למצוא את Google Cloud מזהה הארגון, מבצעים את השלבים הבאים:

  1. נכנסים למסוף Google Cloud .

     נכנסים ל Google Cloud מסוף

  2. לוחצים על התיבה החלפת חשבונות בסרגל התפריטים.
  3. לוחצים על התיבה Select from (בחירה מתוך) ואז בוחרים את הארגון.
  4. לוחצים על הכרטיסייה הכול. מזהה הארגון מוצג לצד שם הארגון.

  ‫CLI של gcloud

  אפשר לאחזר את מזהה הארגון באמצעות הפקודה הבאה: Google Cloud

  gcloud organizations describe ORGANIZATION_NAME --format="value(name.segment(1))"

כדי להחיל את האילוץ ברמת הפרויקט במקום ברמת הארגון, משתמשים ב---project=PROJECT_ID במקום ב---organization=ORGANIZATION_ID.

אפשרות אחרת היא להגדיר מדיניות באמצעות קובץ מדיניות באמצעות פקודות set-policy.

אימות האילוץ

כדי לאמת את האילוץ:

1. נכנסים לדף VM instances במסוף Google Cloud .

   כניסה לדף VM instances

2. לוחצים על בורר הפרויקטים בחלק העליון של הדף ובוחרים פרויקט שבו רוצים ליצור מכונה וירטואלית.

3. לוחצים על Create instance.

4. בקטע Confidential VM service, מוודאים שהמדיניות נאכפת.

הערה: יכול להיות שיעברו כמה דקות עד שהמדיניות הארגונית תתעדכן. אם השינוי לא מופיע, צריך לחכות כמה רגעים ולנסות שוב.

השבתת האילוץ

כדי להשבית את האילוץ, מבצעים את ההוראות הבאות:

המסוף

1. במסוף Google Cloud , נכנסים לדף מדיניות הארגון:

   מעבר למדיניות הארגון

2. לוחצים על תיבת הבורר בחלק העליון של הדף ובוחרים את הארגון שרוצים להחיל עליו את ההגבלה. כדי להחיל את ההגבלה על פרויקט, בוחרים פרויקט במקום זאת.

3. בתיבת המסנן, מזינים restrict non-confidential computing ולוחצים על המדיניות הגבלת שימוש בשיטות חישוב לא סודיות.

4. בדף פרטי המדיניות של הגבלת שימוש בטכנולוגיית מחשוב לא חסויה, לוחצים על ניהול המדיניות.

   הערה: אם האפשרות Manage policy מושבתת, אין לכם הרשאה להגדיר מדיניות ארגונית.

5. לוחצים על הכלל כדי להרחיב אותו.

6. בתיבה ערכי מדיניות, בוחרים באפשרות התרה של כל הפריטים ולוחצים על סיום.

7. לוחצים על הגדרת מדיניות.

gcloud

gcloud resource-manager org-policies delete \
    constraints/compute.restrictNonConfidentialComputing \
    --organization=ORGANIZATION_ID

מציינים את הערך הבא:

• ‫ORGANIZATION_ID: המזהה של הארגון שממנו רוצים למחוק את ההגבלה.

  איך מוצאים את Google Cloud מספר הארגון

  המסוף

  כדי למצוא את Google Cloud מזהה הארגון, מבצעים את השלבים הבאים:

  1. נכנסים למסוף Google Cloud .

     נכנסים ל Google Cloud מסוף

  2. לוחצים על התיבה החלפת חשבונות בסרגל התפריטים.
  3. לוחצים על התיבה Select from (בחירה מתוך) ואז בוחרים את הארגון.
  4. לוחצים על הכרטיסייה הכול. מזהה הארגון מוצג לצד שם הארגון.

  ‫CLI של gcloud

  אפשר לאחזר את מזהה הארגון באמצעות הפקודה הבאה: Google Cloud

  gcloud organizations describe ORGANIZATION_NAME --format="value(name.segment(1))"

כדי למחוק את האילוץ ברמת הפרויקט ולא ברמת הארגון, משתמשים ב---project=PROJECT_ID במקום ב---organization=ORGANIZATION_ID.

אפשרות אחרת היא להגדיר מדיניות באמצעות קובץ מדיניות באמצעות פקודות set-policy.

המאמרים הבאים

מידע נוסף על מושגי הליבה של מדיניות הארגון

• כדאי לקרוא את הסקירה הכללית של מדיניות הארגון.

• מידע נוסף על אילוצים

• מידע על האילוצים הזמינים של מדיניות הארגון

• איך משתמשים באילוצים כדי ליצור מדיניות ארגונית