Forza l'applicazione di una policy dell'organizzazione
Questa guida descrive come impostare una policy dell'organizzazione che include il vincolo delle località delle risorse e come testare questo vincolo dopo che è stato applicato nella Google Cloud console.
Prima di iniziare
Ruoli obbligatori
Per ottenere le autorizzazioni necessarie per limitare la creazione dei dischi Compute Engine, chiedi all'amministratore di concederti i seguenti ruoli IAM:
-
Per impostare una policy dell'organizzazione:
Organization Policy Administrator (
roles/orgpolicy.policyAdmin) nella tua organizzazione -
Per creare un disco Compute Engine:
Compute Storage Admin (
roles/compute.storageAdmin) nel tuo progetto
Per saperne di più sulla concessione dei ruoli, consulta Gestisci l'accesso a progetti, cartelle e organizzazioni.
Potresti anche riuscire a ottenere le autorizzazioni richieste tramite i ruoli personalizzati o altri ruoli predefiniti.
Abilita le API
Abilita le API Compute Engine e Resource Manager.
Ruoli richiesti per abilitare le API
Per abilitare le API, devi disporre del ruolo IAM Amministratore utilizzo servizi (roles/serviceusage.serviceUsageAdmin), che
contiene l'autorizzazione serviceusage.services.enable. Scopri come concedere
i ruoli.
Crea un progetto
-
Assicurati di disporre del ruolo IAM Project Creator
(
roles/resourcemanager.projectCreator). Scopri come concedere i ruoli. -
Nella Google Cloud console, vai alla pagina di selezione del progetto.
-
Fai clic su Crea progetto.
-
Assegna un nome al progetto. Annota l'ID progetto generato.
-
Modifica gli altri campi in base alle esigenze.
-
Fai clic su Crea.
Crea un disco Compute Engine
Per testare la funzionalità del vincolo delle località delle risorse, configura un disco permanente a livello di regione di Compute Engine. Quando crei un disco permanente a livello di regione, devi specificare la località in cui risiederà. Per saperne di più sulla creazione di dischi permanenti a livello di regione di Compute Engine, consulta Creare e gestire dischi a livello di regione.
Nella Google Cloud console, vai alla pagina Dischi.
Seleziona il progetto che hai creato.
- Se ti viene chiesto di collegare un account di fatturazione al progetto, fallo ora. Per saperne di più sull'abilitazione della fatturazione, consulta Abilitare la fatturazione per un progetto.
Fai clic su Crea disco.
Specifica un nome per il disco.
Per Località, seleziona A livello di regione.
Per Regione, seleziona
europe-north1 (Finland).Per Zona, seleziona
europe-north1-a.Seleziona la zona di replica nella stessa regione.
Fai clic su Crea.
Quando il disco viene creato correttamente, accanto al nome viene visualizzato un segno di spunta verde.
Imposta la policy dell'organizzazione
Per impostare una policy dell'organizzazione sul progetto che hai creato:
Nella Google Cloud console, vai alla pagina Policy dell'organizzazione.
Fai clic su Seleziona.
Seleziona il progetto che hai creato.
Fai clic su Google Cloud Platform - Restrizione sulla località delle risorse, quindi fai clic su Gestisci policy.
In Origine policy, seleziona Esegui override della policy della risorsa padre.
In Applicazione policy, seleziona Sostituisci.
Fai clic su Aggiungi regola.
In Valori policy, seleziona Personalizzato.
In Tipo di policy, seleziona Consenti.
Nella casella Valori personalizzati, inserisci
in:asia-locations.Fai clic su Fine, quindi su Imposta policy. Viene visualizzata una notifica per confermare l'aggiornamento della policy.
asia-locations è un
gruppo di valori che è
curato da Google che include ogni località in una determinata regione geografica.
In questo caso, ogni regione in Asia è definita come località consentita per tutte le risorse create da questo momento in poi. Tieni presente che il disco permanente a livello di regione che hai creato non è interessato da questa nuova policy, perché la policy non è retroattiva.
Testa la policy dell'organizzazione
Ora che la policy dell'organizzazione è attiva, non puoi creare risorse nelle regioni non specificate come parte della policy dell'organizzazione. Per verificare questa condizione, prova a creare un disco permanente a livello di regione in una località non valida:
Nella Google Cloud console, vai alla pagina Dischi.
Seleziona il progetto che hai creato.
Fai clic su Crea disco.
Specifica un Nome per il disco.
Per Località, seleziona A livello di regione.
Per Regione, seleziona
europe-north1 (Finland).Per Zona, seleziona
europe-north1-a.Seleziona la zona di replica nella stessa regione.
Fai clic su Crea.
Accanto al nome viene visualizzato un punto esclamativo rosso e viene visualizzata una notifica di errore:
Location ZONE:europe-north1-a violates constraint constraints/gcp.resourceLocations on the resource RESOURCE_ID
Dove RESOURCE_ID è il percorso completo della risorsa del progetto e del disco. Il disco non viene creato.
Crea un disco permanente a livello di regione in una località valida
Il vincolo della policy dell'organizzazione blocca la creazione di risorse a meno che non specifichi una località valida:
Nella Google Cloud console, vai alla pagina Dischi.
Seleziona il progetto che hai creato.
Fai clic su Crea disco.
Specifica un Nome per il disco.
Per Località, seleziona A livello di regione.
Per Regione, seleziona
asia-east2 (Hong Kong).Per la Zona, seleziona
asia-east2-a.Seleziona la zona di replica nella stessa regione.
Fai clic su Crea.
La risorsa viene creata correttamente perché tutte le zone in asia-east2 si trovano all'interno del gruppo di valori asia-locations.
Libera spazio
Per evitare che al tuo Google Cloud account vengano addebitati costi relativi alle risorse utilizzate in questa pagina, segui questi passaggi.
Elimina i dischi permanenti a livello di regione
Elimina i dischi permanenti a livello di regione che hai creato per questa guida rapida:
Nella Google Cloud console, vai alla pagina Dischi.
Nell'elenco visualizzato, seleziona entrambi i dischi che hai creato.
Fai clic su Elimina.
Nella finestra di dialogo di conferma visualizzata, fai clic su Elimina.
Viene visualizzata una finestra di dialogo di notifica per confermare l'eliminazione dei dischi.
Elimina il progetto
Elimina il progetto che hai creato per questa guida rapida:
Nella Google Cloud console, vai alla pagina Gestisci risorse.
Nell'elenco delle risorse visualizzato, seleziona il progetto che hai creato, quindi fai clic su Elimina.
Nella finestra di dialogo Chiudi progetto visualizzata, inserisci l'ID progetto, quindi fai clic su Chiudi comunque.