Gestisci le risorse Memorystore for Redis Cluster con vincoli personalizzati

La policy dell'organizzazioneGoogle Cloud offre un controllo centralizzato e programmatico sulle risorse della tua organizzazione. In qualità di amministratore della policy dell'organizzazione, puoi definire una policy dell'organizzazione, ovvero un set di limitazioni chiamate vincoli che si applicano alle risorseGoogle Cloud e ai discendenti di queste risorse nella gerarchia delle risorseGoogle Cloud . Puoi applicare le policy dell'organizzazione a livello di organizzazione, cartella o progetto.

La policy dell'organizzazione fornisce vincoli predefiniti per vari Google Cloud servizi. Tuttavia, se cerchi un controllo più granulare e personalizzabile sui campi specifici limitati nelle policy dell'organizzazione, puoi anche creare policy dell'organizzazione personalizzate.

Implementando una policy dell'organizzazione personalizzata, applichi configurazioni e limitazioni coerenti. In questo modo, le istanze di Memorystore for Redis Cluster rispettano le best practice di sicurezza e i requisiti normativi.

Vantaggi

Puoi utilizzare una policy dell'organizzazione personalizzata per consentire o negare risorse specifiche di Memorystore for Redis Cluster. Ad esempio, se una richiesta di creazione o aggiornamento di un cluster Redis non soddisfa la convalida dei vincoli personalizzati impostata dalla policy dell'organizzazione, la richiesta non va a buon fine e viene restituito un errore al chiamante.

Ereditarietà delle policy

Per impostazione predefinita, le policy dell'organizzazione vengono ereditate dai discendenti delle risorse su cui applichi la policy. Ad esempio, se applichi una policy a una cartella, Google Cloud applica la policy a tutti i progetti contenuti nella cartella. Per scoprire di più su questo comportamento e su come modificarlo, consulta Regole di valutazione della gerarchia.

Prezzi

Il servizio Policy dell'organizzazione, incluse le policy predefinite e personalizzate, viene fornito senza costi aggiuntivi.

Limitazioni

Come tutti i vincoli delle policy dell'organizzazione, le modifiche alle policy non vengono applicate retroattivamente alle istanze esistenti.

• Una nuova policy non influisce sulle configurazioni delle istanze esistenti.
• Una configurazione delle istanze esistente rimane valida, a meno che non modifichi la configurazione delle istanze da uno stato di conformità a uno di non conformità utilizzando la Google Cloud console, Google Cloud CLI o RPC.
• Un aggiornamento di manutenzione pianificato non causa l'applicazione di una policy, perché la manutenzione non modifica la configurazione delle istanze.

Prima di iniziare

1. Configurare il progetto.
   Accedi al tuo Google Cloud account. Se non conosci Google Cloud, crea un account per valutare le prestazioni dei nostri prodotti in scenari reali. I nuovi clienti ricevono anche 300 $di crediti senza costi per l'esecuzione, il test e il deployment dei workload.

   In the Google Cloud console, on the project selector page, select or create a Google Cloud project.

   Roles required to select or create a project

   • Select a project: Selecting a project doesn't require a specific IAM role—you can select any project that you've been granted a role on.
   • Create a project: To create a project, you need the Project Creator role (roles/resourcemanager.projectCreator), which contains the resourcemanager.projects.create permission. Learn how to grant roles.

   Note: If you don't plan to keep the resources that you create in this procedure, create a project instead of selecting an existing project. After you finish these steps, you can delete the project, removing all resources associated with the project.

   Go to project selector

   Verify that billing is enabled for your Google Cloud project.

   Installa Google Cloud CLI.

   Se utilizzi un provider di identità (IdP) esterno, devi prima accedere a gcloud CLI con la tua identità federata.

   Per inizializzare gcloud CLI, esegui questo comando:

   gcloud init

   In the Google Cloud console, on the project selector page, select or create a Google Cloud project.

   Roles required to select or create a project

   • Select a project: Selecting a project doesn't require a specific IAM role—you can select any project that you've been granted a role on.
   • Create a project: To create a project, you need the Project Creator role (roles/resourcemanager.projectCreator), which contains the resourcemanager.projects.create permission. Learn how to grant roles.

   Note: If you don't plan to keep the resources that you create in this procedure, create a project instead of selecting an existing project. After you finish these steps, you can delete the project, removing all resources associated with the project.

   Go to project selector

   Verify that billing is enabled for your Google Cloud project.

   Installa Google Cloud CLI.

   Se utilizzi un provider di identità (IdP) esterno, devi prima accedere a gcloud CLI con la tua identità federata.

   Per inizializzare gcloud CLI, esegui questo comando:

   gcloud init

   1. Assicurati di conoscere il tuo ID organizzazione.

Ruoli obbligatori

Per ottenere le autorizzazioni necessarie per gestire le policy dell'organizzazione, chiedi all'amministratore di concederti il ruolo IAM Amministratore delle policy dell'organizzazione (roles/orgpolicy.policyAdmin) sulla risorsa organizzazione. Per saperne di più sulla concessione dei ruoli, consulta Gestisci l'accesso a progetti, cartelle e organizzazioni.

Potresti anche riuscire a ottenere le autorizzazioni richieste tramite i ruoli personalizzati o altri ruoli predefiniti.

Devi anche aggiungere i ruoli richiesti per creare Memorystore for Redis Cluster al tuo account utente. Consulta Configurare l'accesso alle risorse di Memorystore for Redis Cluster.

Crea un vincolo personalizzato

Puoi creare un vincolo personalizzato utilizzando un file YAML per definire le risorse, i metodi, le condizioni e le azioni soggette al vincolo. Questi sono specifici per il servizio su cui stai applicando la policy dell'organizzazione. Le condizioni per i vincoli personalizzati devono essere definite utilizzando il Common Expression Language. Consulta la pagina GitHub relativa al Common Expression Language (CEL). Per saperne di più su come creare condizioni nei vincoli personalizzati utilizzando il CEL, consulta la sezione relativa al CEL di Creazione e gestione di vincoli personalizzati.

Utilizza il seguente modello per creare un file YAML per un vincolo personalizzato:

name: organizations/ORGANIZATION_ID/customConstraints/CONSTRAINT_NAME
resourceTypes:
- redis.googleapis.com/RESOURCE_NAME
methodTypes:
- CREATE
- UPDATE
condition: "CONDITION"
actionType: ACTION
displayName: DISPLAY_NAME
description: DESCRIPTION

Sostituisci quanto segue:

• ORGANIZATION_ID: l'ID della tua organizzazione, ad esempio 123456789.

• CONSTRAINT_NAME: il nome che vuoi assegnare al nuovo vincolo personalizzato. Un vincolo personalizzato deve iniziare con custom. e può includere solo lettere maiuscole, lettere minuscole o numeri, ad esempio custom.restrictFiveShardClusters. La lunghezza massima di questo campo è di 70 caratteri, senza contare il prefisso, ad esempio organizations/123456789/customConstraints/custom.allowConstraint.

• RESOURCE_NAME: il nome (non l'URI) della risorsa Memorystore for Redis Cluster contenente l'oggetto e il campo che vuoi limitare. Ad esempio, redis.googleapis.com/Cluster.

• CONDITION: una condizione CEL scritta in base a una rappresentazione di una risorsa di servizio supportata. Questo campo ha una lunghezza massima di 1000 caratteri. Per saperne di più sulle risorse disponibili in base a cui scrivere condizioni, consulta Risorse supportate. Ad esempio, "resource.shardCount == 5".

• ACTION: l'azione da eseguire se è soddisfatta condition. Può essere ALLOW o DENY.

• DISPLAY_NAME: un nome facile da ricordare per il vincolo. Questo campo ha una lunghezza massima di 200 caratteri.

• DESCRIPTION: una descrizione chiara del vincolo da visualizzare come messaggio di errore in caso di violazione della policy. Questo campo ha una lunghezza massima di 2000 caratteri.

Per saperne di più su come creare un vincolo personalizzato, consulta Creazione e gestione delle policy dell'organizzazione personalizzate.

Configura un vincolo personalizzato

Dopo aver creato il file YAML per un nuovo vincolo personalizzato, devi configurarlo per renderlo disponibile per le policy dell'organizzazione.

Per impostare un vincolo personalizzato, utilizza il gcloud org-policies set-custom-constraint comando:

gcloud org-policies set-custom-constraint CONSTRAINT_PATH

Sostituisci CONSTRAINT_PATH con il percorso completo del file del vincolo personalizzato. Ad esempio, /home/user/customconstraint.yaml. Dopo aver configurato i vincoli personalizzati, questi sono disponibili come policy dell'organizzazione nell'elenco delle Google Cloud policy dell'organizzazione.

Per verificare che il vincolo personalizzato esista, utilizza il gcloud org-policies list-custom-constraints comando:

gcloud org-policies list-custom-constraints --organization=ORGANIZATION_ID

Sostituisci ORGANIZATION_ID con l'ID della risorsa della tua organizzazione. Per saperne di più, consulta Visualizzazione delle policy dell'organizzazione.

Forza l'applicazione di una policy dell'organizzazione personalizzata

Puoi applicare un vincolo creando una policy dell'organizzazione che lo richiami e poi applicando questa policy dell'organizzazione a una risorsa Google Cloud .

Console

1. Nella console Google Cloud , vai alla pagina Policy dell'organizzazione.

   Vai a Policy dell'organizzazione

2. Nel selettore di progetti, seleziona il progetto per cui vuoi impostare la policy dell'organizzazione.
3. Nell'elenco della pagina Policy dell'organizzazione, seleziona il vincolo per visualizzare la pagina Dettagli policy relativa al vincolo in questione.
4. Per configurare la policy dell'organizzazione per questa risorsa, fai clic su Gestisci policy.
5. Nella pagina Modifica policy, seleziona Esegui override della policy dell'unità organizzativa principale.
6. Fai clic su Aggiungi una regola.
7. Nella sezione Applicazione, seleziona se questa policy dell'organizzazione viene applicata o meno.
8. (Facoltativo) Per rendere la policy dell'organizzazione condizionale su un tag, fai clic su Aggiungi condizione. Tieni presente che se aggiungi una regola condizionale a una policy dell'organizzazione devi aggiungere almeno una regola non condizionale, altrimenti la policy non può essere salvata. Per saperne di più, consulta Definisci l'ambito delle policy dell'organizzazione con i tag.
9. Fai clic su Testa modifiche per simulare l'effetto della policy dell'organizzazione. Per saperne di più, consulta Testa le modifiche alla policy dell'organizzazione con Policy Simulator.
10. Per applicare la policy dell'organizzazione in modalità dry run, fai clic su Imposta policy dry run. Per saperne di più, consulta Testare le policy dell'organizzazione.
11. Dopo aver verificato che la policy dell'organizzazione in modalità dry run funziona come previsto, imposta la policy attiva facendo clic su Imposta policy.

gcloud

1. Per creare una policy dell'organizzazione con regole booleane, crea un file YAML della policy che faccia riferimento al vincolo:

name: projects/PROJECT_ID/policies/CONSTRAINT_NAME
spec:
  rules:
  - enforce: true

dryRunSpec:
  rules:
  - enforce: true

Sostituisci quanto segue:

• PROJECT_ID: il progetto in cui vuoi applicare il vincolo.
• CONSTRAINT_NAME: il nome definito per il vincolo personalizzato. Ad esempio: custom.restrictFiveShardClusters.
2. Per applicare la policy dell'organizzazione in modalità dry run, esegui il seguente comando con il flag dryRunSpec:

gcloud org-policies set-policy POLICY_PATH --update-mask=dryRunSpec

Sostituisci POLICY_PATH con il percorso completo del file YAML della policy dell'organizzazione. L'applicazione della policy può richiedere fino a 15 minuti.

3. Dopo aver verificato che la policy dell'organizzazione in modalità dry run funziona come previsto, imposta la policy attiva con il comando org-policies set-policy e il flag spec:

gcloud org-policies set-policy POLICY_PATH --update-mask=spec

Sostituisci POLICY_PATH con il percorso completo del file YAML della policy dell'organizzazione. L'applicazione della policy può richiedere fino a 15 minuti.

Testa un vincolo personalizzato

Per testare un vincolo personalizzato, esegui un comando gcloud che tenta di creare un cluster Redis.

Ad esempio, supponiamo che un vincolo limiti la creazione di cluster Redis con cinque shard. Puoi testare questo vincolo eseguendo il comando gcloud redis clusters create con shard-count impostato su 5, come mostrato nel seguente snippet:

gcloud redis clusters create redis-cluster-test \
    --replica-count=0 \
    --region=us-east1 \
    --project=my-project \
    --network=projects/my-project/global/networks/default \
    --node-type=redis-shared-core-nano
    --shard-count=5 \

L'output è simile al seguente:

Operation denied by custom org policies: ["customConstraints/custom.restrictFiveShardClusters": "Prevent users from creating Redis clusters with five shards."]

Attenzione: ti consigliamo di utilizzare il tipo di nodo redis-shared-core-nano solo per scopi di sviluppo o test perché questo tipo di nodo non ha uno SLA. Se esegui Memorystore for Redis Cluster in un ambiente di produzione, ti consigliamo di utilizzare un altro tipo di nodo. Per saperne di più su questi tipi di nodi, consulta Scegliere un tipo di nodo.

Risorse e operazioni supportate di Memorystore for Redis Cluster

I seguenti campi di vincoli personalizzati di Memorystore for Redis Cluster sono disponibili per l'utilizzo quando crei o aggiorni una risorsa Memorystore for Redis Cluster.

• Cluster Memorystore for Redis Cluster
  • resource.authorizationMode
  • resource.deletionProtectionEnabled
  • resource.name
  • resource.nodeType
  • resource.persistenceConfig.aofConfig.appendFsync
  • resource.persistenceConfig.mode
  • resource.persistenceConfig.rdbConfig.rdbSnapshotPeriod
  • resource.persistenceConfig.rdbConfig.rdbSnapshotStartTime
  • resource.pscConfigs.network
  • resource.redisConfigs
  • resource.replicaCount
  • resource.shardCount
  • resource.transitEncryptionMode

Esempi di vincoli personalizzati

La tabella seguente fornisce un esempio di vincolo personalizzato che limita i cluster Redis con cinque shard:

Descrizione	Sintassi del vincolo
Limita i cluster Redis con cinque shard	name: organizations/ORGANIZATION_ID/customConstraints/custom.restrictFiveShardClusters resourceTypes: - redis.googleapis.com/Cluster methodTypes: - CREATE - UPDATE condition: "resource.shardCount == 5" actionType: DENY displayName: Restrict five shard Redis clusters description: Prevent users from creating Redis clusters with five shards.

Passaggi successivi

• Per saperne di più sulle policy dell'organizzazione, consulta Introduzione al servizio Policy dell'organizzazione.
• Scopri di più su come creare e gestire le policy dell'organizzazione.
• Consulta l'elenco completo dei vincoli delle policy dell'organizzazione predefiniti.