事前定義された組織のポリシーの制約を使用して、インスタンスの顧客管理の暗号鍵（CMEK）による保護を確保する

このドキュメントでは、Memorystore for Valkey の事前定義された組織のポリシーの制約を使用する方法について説明します。これらの制約を使用すると、プロジェクト、フォルダ、組織レベルで Memorystore for Valkey に制限を設定できます。

組織のポリシーの制約を使用すると、インスタンスの CMEK 設定を制御することで、Memorystore for Valkey インスタンスの顧客管理の暗号鍵（CMEK）保護を確保できます。これにより、インスタンスの CMEK 保護を 適用できるだけでなく、データの保護に使用できる Cloud Key Management Service（KMS）鍵を 制御することもできます。

組織のポリシーの制約は、新しく作成された Memorystore for Valkey インスタンスにのみ適用されます。詳細については、CMEK に関する組織のポリシーと組織のポリシーの制約をご覧ください。

始める前に

事前定義された組織のポリシーの制約の使用を開始する前に、このセクションの前提条件を満たしてください。

コンソール、Google Cloud CLI、API を使用する Google Cloud

コンソール、gcloud CLI、API を使用する手順は次のとおりです。 Google Cloud

  1. コンソールのプロジェクト セレクタ ページで、プロジェクトを選択または 作成します。 Google Cloud Google Cloud

    プロジェクトの選択に移動

  2. プロジェクトに対して課金が有効になっていることを確認します。プロジェクトで課金が有効になっているかどうかを確認する方法をご覧ください。

  3. Google Cloud CLI（gcloud CLI）をインストールして初期化します。

    gcloud CLI をインストールした場合は、gcloud components update を実行して最新バージョンであることを確認してください。Memorystore for Valkey の gcloud CLI コマンドにアクセスするには、少なくとも gcloud CLI バージョン 489.0.0 が必要です。

  4. Memorystore for Valkey API を有効にします。
    Memorystore for Valkey API
  5. 外部 ID プロバイダ（IdP）を使用している場合は、まず フェデレーション ID を使用して gcloud CLI にログインする必要があります。
  6. 組織の ID を把握していることを確認します。

ロールを割り当てる

インスタンスに事前定義された組織のポリシーの制約を使用するには、 次のいずれかのIAM ロール が Google Cloud プロジェクトに必要です。

  • roles/memorystore.admin（Memorystore 管理者のロール）
  • roles/owner（オーナーのロール）
  • roles/editor（編集者のロール）

また、ユーザーまたはサービス アカウントに roles/orgpolicy.policyAdmin（組織のポリシー管理者）ロールを 付与する必要があります。ロールの付与については、 プロジェクト、フォルダ、組織へのアクセス権の管理をご覧ください。

必要な権限は、カスタムロール や他の事前定義ロールから取得することもできます。

事前定義された CMEK 制約を組織のポリシーに追加する

このセクションでは、次の事前定義された CMEK 制約を組織のポリシーに追加します。

  • constraints/gcp.restrictNonCmekServices: インスタンスに CMEK 保護を適用します。Memorystore for Valkey API が、この制約のサービスの Deny ポリシーリストに含まれている場合、CMEK で保護されていないインスタンスを作成することはできません。
  • constraints/gcp.restrictCmekCryptoKeyProjects: CMEK 保護に使用できる Cloud KMS 鍵を制限します。この制約を構成すると、CMEK 暗号化を使用するインスタンスは、許可されたプロジェクト、フォルダ、組織の鍵を使用する必要があります。

これらの CMEK 制約を組織のポリシーに追加する手順は次のとおりです。

  1. [組織のポリシー] ページに移動します。

    [組織のポリシー] ページに移動

  2. コンソールのメニューバーのメニューをクリックし、組織のポリシーを必要とするプロジェクト、 フォルダ、組織を選択します。 Google Cloud

    [組織のポリシー] ページに、使用可能な組織のポリシーの制約のリストが表示されます。

  3. constraints/gcp.restrictNonCmekServices 制約を設定する手順は次のとおりです。

    1. ID constraints/gcp.restrictNonCmekServices を使用して、制約をフィルタします。
    2. 制約の名前を含むリンクをクリックします。
    3. [ポリシーの詳細] ページで、[ポリシーを管理する] をクリックします。
    4. [ポリシーの編集] ページの [ポリシーのソース] セクションで、 [親のポリシーをオーバーライドする] オプションをクリックします。
    5. [ルール] セクションで、[ルールを追加] フィールドをクリックします。
    6. [新しいルール] ダイアログの [ポリシーの値] メニューで、[カスタム] を選択します。
    7. [ポリシータイプ] メニューで、[拒否] を選択します。
    8. [カスタム値] フィールドに「memorystore.googleapis.com」と入力します。この値により、Memorystore for Valkey インスタンスを作成するときに CMEK 保護が適用されます。
    9. [ポリシーを設定] をクリックします。

  4. constraints/gcp.restrictCmekCryptoKeyProjects 制約を設定する手順は次のとおりです。

    1. ID constraints/gcp.restrictCmekCryptoKeyProjects を使用して、制約をフィルタします。
    2. 制約の名前を含むリンクをクリックします。
    3. [ポリシーの詳細] ページで、[ポリシーを管理する] をクリックします。
    4. [ポリシーの編集] ページの [ポリシーのソース] セクションで、 [親のポリシーをオーバーライドする] オプションをクリックします。
    5. [ルール] セクションで、[ルールを追加] フィールドをクリックします。
    6. [新しいルール] ダイアログの [ポリシーの値] メニューで、[カスタム] を選択します。
    7. [ポリシータイプ] メニューで、[許可] を選択します。

    8. [カスタム値] フィールドに、under:organizations/ORGANIZATION_ID、under:folders/FOLDER_ID、projects/PROJECT_ID のいずれかの形式でリソースを入力します。

      これらの値により、Memorystore for Valkey インスタンスは、許可された組織、フォルダ、プロジェクトの Cloud KMS 鍵のみを使用できます。

    9. [ポリシーを設定] をクリックします。

次のステップ