Google は AI 技術を使用して、コンテンツをご希望の言語に翻訳しています。AI 翻訳には誤りが含まれる場合があります。

ポリシーを使用してデプロイ動作を制限する

このドキュメントでは、デプロイポリシーを使用して手動または自動デリバリーパイプラインアクションを制限する方法について説明します。

デプロイポリシーは、選択したデリバリーパイプラインまたはターゲット（またはすべてのパイプラインまたはターゲット）に対する手動または自動のアクションを制限するために使用できる Cloud Deploy リソースです。

制限できる動作

デプロイポリシーを作成して、Cloud Deploy がロールアウトに対して特定のアクションを実行することを制限または禁止できます。たとえば、ポリシーにより、指定された期間中に特定のデリバリーパイプラインのロールアウトの作成を禁止できます。たとえば、季節的な制限に使用できます。

ポリシーの評価と適用方法

手動または自動のアクションの場合、Cloud Deploy は次の処理を行います。

Identity and Access Management の権限を確認します。

ユーザーアカウントまたはサービスアカウントに十分な IAM 権限がない場合、アクションは実行されず、デプロイポリシーを評価する必要はありません。
ターゲットまたはデリバリーパイプラインに適用可能なポリシーがあるかどうかを確認し、ある場合はポリシーを評価します。
- Cloud Deploy は、実行されるアクションを評価して、このルールが適用可能かどうかを確認します。
  
  つまり、アクションタイプと呼び出し元がポリシーと一致しているかどうかを確認します。
- Cloud Deploy は、ポリシーに定義された日付と時間の範囲を確認して、リクエスト時にそのポリシーが有効かどうかを確認します。
- ポリシーが有効で、ルールがデリバリーパイプラインまたはターゲットとアクションに適用される場合、そのルールが適用され、アクションがブロックされます。

要件と制限事項

各ポリシーには少なくとも 1 つのセレクタが必要です。
各ポリシーには少なくとも 1 つのルールが必要です。

すべてのルール ID は、デプロイポリシー内でユニークである必要があります。
各ルールには少なくとも 1 つの timeWindows が必要です。その timeWindows 内には oneTimeWindows または weeklyWindows のいずれかが必要です。

時間ブロックの使用方法について詳しくは、日付と時刻をご覧ください。
プロジェクト/ロケーションごとに設定できるデプロイポリシーは 1,000 個までです。

必要な Identity and Access Management のロールと権限

Cloud Deploy デリバリーパイプラインを実行するために必要な権限、ポリシーによって制限されるタスクを行うために必要な権限に加えて、ポリシーリソースに対する特定のオペレーションを実行するためには次のようないくつかの権限が必要です。

clouddeploy.deployPolicies.create
clouddeploy.deployPolicies.delete
clouddeploy.deployPolicies.get
clouddeploy.deployPolicies.list
clouddeploy.deployPolicies.update
clouddeploy.deployPolicies.override

これらの権限は、roles/clouddeploy.policyAdmin ロールに含まれています。また、roles/clouddeploy.policyOverrider ロールには .override 権限が含まれています。

デプロイポリシーの作成

デプロイポリシーリソースの作成手順は次のとおりです。

デプロイポリシーの構成を含む YAML ファイルを作成します。

構成には、リソースをデプロイポリシーとして識別するヘッダーが含まれています。必ず name を付ける必要があります。
```
 apiVersion: deploy.cloud.google.com/v1
 kind: DeployPolicy
 metadata:
   name: 
 description: 
```
ポリシーが適用される配信パイプラインとターゲット（selectors）への参照を追加します。

ポリシーセレクタとその構成方法の詳細については、ポリシーセレクタをデプロイすると構成スキーマリファレンスをご覧ください。
1 つ以上のポリシー rules を追加します。

各ルールは、制限と、その制限が適用される状況を表します。ポリシールールとその構成方法の詳細については、ポリシールールをデプロイすると構成スキーマリファレンスをご覧ください。
このファイルを適用してポリシーを作成します。
```
gcloud deploy apply --file=FILENAME \
                     --region=REGION \
                     --project=PROJECT_ID
```
ここで、FILENAME は DeployPolicy 定義を含む YAML ファイルの名前、REGION はデプロイポリシーリソースを作成するリージョン、PROJECT_ID はリソースを作成するプロジェクトです。

参照されているデリバリーパイプラインまたはターゲットは、デプロイポリシーリソースのルールに従って制限されます。

ポリシーセレクタをデプロイする

デプロイポリシーの構成で定義されるセレクタは、特定のルールの影響を受けるデリバリーパイプラインとターゲットを決定します。

セレクタは、デプロイポリシーの構成の selectors スタンザで、トップレベルプロパティとして定義されます。

selectors:
- deliveryPipeline:
    id:
    labels:
  target:
    id:
    labels:

この YAML 構成では、deliveryPipeline.id はデリバリーパイプラインの名前を、target.id はターゲットの名前を取得します（どちらの場合も metadata.name）。

id: * を使用すると、すべてのデリバリーパイプラインまたはすべてのターゲットを選択できます。* はすべてを選択するための特別なフィールド値であり、任意のワイルドカードはサポートされていません。ラベルを使用して、デリバリーパイプラインまたはターゲット、あるいはその両方を照合することもできます。

指定されたセレクタ内では、アイテムは AND 条件として扱われます。複数のセレクタは OR 条件として扱われます。つまり、特定のリクエストがポリシーによって制限されるには、少なくとも 1 つのセレクタに適用される必要があります。ただし、そのセレクタ内では、リクエストはすべての項目に一致する必要があります。

ポリシールールをデプロイする

各デプロイポリシーには、1 つ以上のポリシールールが含まれます。これらのルールは、選択したデリバリーパイプラインまたはターゲットで制限されるアクションを定義します。ルールは、ルールが適用される状況も定義します。

次のルールを使用できます。

rolloutRestriction

rolloutRestriction ルールは、選択したデリバリーパイプラインで使用される選択したターゲットで、指定されたロールアウトアクションが実行されないようにします。このルールでは、選択したデリバリーパイプラインとターゲットに対してロールアウトを作成できない時間枠を定義する時間枠を使用します。デプロイポリシールールで日付と時刻を指定する方法については、日付と時刻をご覧ください。

ルールが有効な間、次の操作は制限されます。

ADVANCE

ロールアウトフェーズを進めることはできません。
APPROVE

ロールアウトのプロモーションを承認できません。
CANCEL

ロールアウトをキャンセルすることはできません。
CREATE

ロールアウトを作成できません。ポリシーによってこのアクションが禁止されている場合でも、リリースを作成できますが、そのリリースからロールアウトが生成されることはありません。
IGNORE_JOB

ジョブを無視することはできません。
RETRY_JOB

ジョブを再試行できません。
ROLLBACK

ロールアウトをロールバックすることはできません。
TERMINATE_JOBRUN

ジョブ実行を終了できません

このルールの YAML 構造については、構成スキーマリファレンスをご覧ください。

`rolloutRestriction` ルールの日付と時刻

日付と時間ブロックを構成して、デプロイポリシーが有効になる繰り返しと非繰り返しの時間枠を指定します。

日付と時刻の表現に関する要件は次のとおりです。

日付は yyyy-mm-dd として表されます。
時刻を表す場合、一日の始まりは 00:00、一日の終わりは 24:00 です。
oneTimeWindows の場合、日付には時刻を含める必要があります。weeklyWindows の場合、時刻は省略できます。ただし、startTime を指定する場合は endTime を指定する必要があります。その逆も同様です。

たとえば、日曜日のみフリーズする場合は次のようになります。
```
- daysOfWeek: [SUNDAY]
  startTime: "00:00"
  endTime: "24:00"
```
次の方法でも可能です。
```
- daysOfWeek: [SUNDAY]
```
ただし、次の場合は除きます。
```
- daysOfWeek: [SUNDAY]
  startTime: "00:00"
```
timeWindows スタンザにタイムゾーンを含める必要があります。

例: timeZone: America/New_York。

繰り返しのない時間枠

繰り返しのない時間枠は、特定の日時に開始して終了します。これは、ロールアウトを制限する期間に使用します。

繰り返しなしの時間枠は、oneTimeWindows スタンザを使用して構成されます。

繰り返しの時間枠

繰り返しの時間枠は、ロールアウトを制限する繰り返しの時間ブロックを表します。たとえば、週末のロールアウトを制限するために使用できます。

繰り返しの時間枠は、weeklyWindows スタンザを使用して構成されます。

例

このセクションでは、日付と時刻を使用してデプロイポリシーが適用されるタイミングを構成する例をいくつか示します。

年次固定

ロールアウトを一時停止したい期間がある場合は、oneTimeWindows ブロックを構成して一時停止できます。日付が毎年予測可能な場合でも、複数の oneTimeWindow ブロックを使用する必要があります。

次の YAML は、年次フリーズのデプロイポリシーを適用する 1 回限りの（繰り返しなし）時間枠を示しています。

timeWindows:
  timeZone: "America/New_York"
  oneTimeWindows:
  - start: "2024-12-22 17:00"
    end: "2025-01-02 09:00"

この YAML は、2024 年 12 月 22 日午後 5 時から 2025 年 1 月 2 日午前 9 時までの時間枠を表しています。

週末フリーズの繰り返し

次の YAML は、週末（金曜日の午後 5 時から月曜日の午前 9 時まで）のロールアウトを制限するデプロイポリシーを適用する繰り返し時間枠を示しています。

timeWindows:
  timeZone: "America/New_York"
  weeklyWindows:
  - daysOfWeek: [FRIDAY]
    startTime: "17:00"
    endTime: "24:00"
  - daysOfWeek: [SATURDAY, SUNDAY]
    startTime: "00:00"
    endTime: "24:00"
  - daysOfWeek: [MONDAY]
    startTime: "00:00"
    endTime: "09:00"

デプロイポリシーを更新する

デプロイポリシーの更新は、次の手順で行います。

ポリシー構成の YAML を編集します。

Google Cloud コンソールを使用してポリシーを作成した場合は、[デプロイポリシーの詳細] ページで [YAML] タブを選択して YAML 構成を取得できます。その後、そのテキストをローカルファイルにコピーして編集できます。

このファイルを適用してポリシーを更新します。

gcloud deploy apply --file=FILENAME \
                     --region=REGION \
                     --project=PROJECT_ID

これにより、新しい構成でデプロイポリシーリソースが更新されます。

デプロイポリシーは、制限付きアクションが試行されたときに評価されるため、すべての Cloud Deploy リソースに対するそのようなアクションはすべて、更新されたポリシーの対象となります。つまり、以前の制限の残りは存在しません。たとえば、12 月全体に restrictRollouts ブロックがあり、12 月 14 日に制限が 12 月 15 日に終了するようにポリシーを更新した場合、12 月 15 日以降はロールアウトがブロックされなくなります。

デプロイポリシーをオーバーライドする

必要に応じて、デプロイポリシーをオーバーライドできます。たとえば、本番環境のデプロイに問題があり、ロールバックする必要があるが、ロールアウトを禁止するデプロイポリシーがある場合は、そのポリシーをオーバーライドして、問題のあるロールアウトをロールバックできます。

デプロイポリシーをオーバーライドするには、clouddeploy.deployPolicies.override IAM 権限が必要です。

ポリシーをオーバーライドするには、gcloud CLI またはGoogle Cloud コンソールを使用します。

Console

Google Cloud コンソールで、ポリシーによってブロックされているアクションを実行してみます。

デプロイポリシーによってアクションがブロックされていることを示すダイアログが表示されます。このダイアログには、このアクションをブロックしている特定のポリシーへのリンクが含まれています。
テキストフィールドにポリシーの名前を入力し、[ポリシーのオーバーライドを試みる] をクリックします。

ポリシーをオーバーライドする権限がある場合、Cloud Deploy はアクションを実行します。

gcloud CLI

gcloud CLI を使用してデプロイポリシーをオーバーライドするには、そのポリシーによって阻止されるアクションのコマンドに --override-deploy-policies を追加します。たとえば、次のコマンドはリリースをプロモートさせ、プロモーションを妨げる特定のデプロイポリシーをオーバーライドします。

 gcloud deploy releases promote --release=my-release-001 \
   --project=my-policy-testing-project \
   --region=us-central1 \
   --delivery-pipeline=my-pipeline \
   --to-target=prod-target \
   --override-deploy-policies=my-deploy-policy

デプロイポリシーを削除する

デプロイポリシーを削除するには:

Console

Google Cloud コンソールで、Cloud Deploy の [デプロイポリシー] ページに移動します。

[デプロイポリシー] ページを開く

このページには、現在のプロジェクトで使用可能なデプロイポリシーのリストが表示されます（存在する場合）。
削除するポリシーの（アクション）ボタンを選択し、[デプロイポリシーを削除] をクリックします。
デプロイポリシー名を入力して削除を確定し、[確認] をクリックします。

ポリシーが削除され、ポリシーで制限されていたアクションを実行できるようになりました。

gcloud CLI

gcloud CLI を使用してデプロイポリシーを削除するには、次のコマンドを実行します。

 gcloud deploy deploy-policies delete \
    --project=[PROJECT] \
    --region=[REGION] \
    [POLICY_NAME]

以下を置き換えます。

[POLICY_NAME]

ポリシー構成ファイルで定義されているポリシーの名前。
[PROJECT]

デプロイポリシーを作成した Google Cloud プロジェクトのプロジェクト ID。
[REGION]

デプロイポリシーを作成したリージョン。

デプロイポリシーリソースを削除すると、影響を受けるデリバリーパイプラインとターゲットはポリシーの対象外になり、別のデプロイポリシーの影響を受けない限り制限されなくなります。

デプロイポリシーのロギング

デプロイポリシーが評価されると、次のアクションに対してプラットフォームログエントリが作成されます。

ポリシー評価

リクエストが評価され、ポリシーに違反した場合、プラットフォームログが書き込まれます。リクエストによってポリシーに違反しているものの、ポリシーが停止されているかオーバーライドされているためにリクエストが許可された場合も、ログが書き込まれます。ポリシーに違反していないため、リクエストが許可された場合はログが書き込まれません。
デプロイポリシーリソースの変更時に Pub/Sub 通知が失敗します。

次のステップ

デプロイポリシーの構成の詳細については、構成ファイルのスキーマをご覧ください。
Cloud Deploy のデプロイ自動化について学習します。

ポリシーを使用してデプロイ動作を制限する コレクションでコンテンツを整理 必要に応じて、コンテンツの保存と分類を行います。

制限できる動作

ポリシーの評価と適用方法

要件と制限事項

必要な Identity and Access Management のロールと権限

デプロイ ポリシーの作成

ポリシー セレクタをデプロイする

ポリシー ルールをデプロイする

rolloutRestriction ルールの日付と時刻

繰り返しのない時間枠

繰り返しの時間枠

例

年次固定

週末フリーズの繰り返し

デプロイ ポリシーを更新する

デプロイ ポリシーをオーバーライドする

Console

gcloud CLI

デプロイ ポリシーを削除する

Console

gcloud CLI

デプロイ ポリシーのロギング

次のステップ

ポリシーを使用してデプロイ動作を制限する

デプロイポリシーの作成

ポリシーセレクタをデプロイする

ポリシールールをデプロイする

`rolloutRestriction` ルールの日付と時刻

デプロイポリシーを更新する

デプロイポリシーをオーバーライドする

デプロイポリシーを削除する

デプロイポリシーのロギング