אכיפה של מדיניות הארגון

אכיפה של מדיניות הארגון

במדריך הזה מוסבר איך להגדיר מדיניות ארגון שכוללת את האילוץ מיקומי משאבים, ואיך לבדוק את האילוץ הזה אחרי שהוא מוחל במסוףGoogle Cloud .

לפני שמתחילים

התפקידים הנדרשים

כדי לקבל את ההרשאות שדרושות להגבלת המקומות שבהם אפשר ליצור דיסקים של Compute Engine, צריך לבקש מהאדמין להקצות לכם את תפקידי ה-IAM הבאים:

• כדי להגדיר מדיניות ארגונית: אדמין מדיניות ארגונית (roles/orgpolicy.policyAdmin) בארגון
• כדי ליצור דיסק ב-Compute Engine: אדמין אחסון ב-Compute (roles/compute.storageAdmin) בפרויקט

להסבר על מתן תפקידים, ראו איך מנהלים את הגישה ברמת הפרויקט, התיקייה והארגון.

יכול להיות שאפשר לקבל את ההרשאות הנדרשות גם באמצעות תפקידים בהתאמה אישית או תפקידים מוגדרים מראש.

הפעלת ממשקי ה-API

מפעילים את ממשקי ה-API של Compute Engine ושל מנהל המשאבים, אם יש כאלה שלא מופעלים.

תפקידים שנדרשים להפעלת ממשקי API

כדי להפעיל ממשקי API, נדרשת ההרשאה serviceusage.services.enable. אם יצרתם את הפרויקט, סביר להניח שכבר יש לכם את ההרשאה הזו דרך התפקיד 'בעלים' (roles/owner). אחרת, תוכלו לקבל את ההרשאה הזו דרך התפקיד 'אדמין בממשק Service Usage' (roles/serviceusage.serviceUsageAdmin). איך מקצים תפקידים

הפעלת ממשקי ה-API

יצירת פרויקט

1. מוודאים שיש לכם את תפקיד ה-IAM 'Project Creator' (roles/resourcemanager.projectCreator). איך מקצים תפקידים

2. נכנסים לדף לבחירת הפרויקט במסוף Google Cloud .

   כניסה לדף לבחירת הפרויקט

3. לוחצים על יצירת פרויקט.

4. נותנים שם לפרויקט. רושמים או זוכרים את מזהה הפרויקט שנוצר.

5. עורכים את שאר השדות לפי הצורך.

6. לוחצים על יצירה.

יצירת דיסק ב-Compute Engine

כדי לבדוק את הפונקציונליות של האילוץ 'מיקומי משאבים', מגדירים דיסק לאחסון מתמיד אזורי ב-Compute Engine. כשיוצרים דיסק קשיח אזורי, צריך לציין את המיקום שבו הוא יאוחסן. מידע נוסף על יצירת דיסקים לאחסון מתמיד של אזור ב-Compute Engine זמין במאמר יצירה וניהול של דיסקים אזוריים.

1. נכנסים לדף Disks במסוף Google Cloud .

   לפתיחת הדף Disks

2. בוחרים את הפרויקט שיצרתם.

   1. אם תתבקשו לקשר חשבון לחיוב לפרויקט, עשו זאת עכשיו. מידע נוסף על הפעלת החיוב זמין במאמר הפעלת החיוב בפרויקט.

3. לוחצים על Create disk.

4. מציינים Name (שם) לדיסק.

5. בקטע מיקום, בוחרים באפשרות אזורי.

6. בקטע אזור, בוחרים באפשרות europe-north1 (Finland).

7. בשדה Zone, בוחרים באפשרות europe-north1-a.

8. בוחרים את אזור הרפליקה באותו אזור.

9. לוחצים על יצירה.

אחרי שהדיסק נוצר בהצלחה, מופיע סימן וי ירוק ליד השם.

הגדרת מדיניות הארגון

כדי להגדיר מדיניות ארגונית בפרויקט שיצרתם:

1. נכנסים לדף Organization policies במסוף Google Cloud .

   מעבר למדיניות הארגון

2. לוחצים על בחירה.

3. בוחרים את הפרויקט שיצרתם.

4. לוחצים על Google Cloud Platform - Resource Location Restriction (פלטפורמת Google Cloud – הגבלת מיקום משאבים) ואז על Manage policy (ניהול מדיניות).

5. בקטע מקור המדיניות, בוחרים באפשרות במקום המדיניות של המשאב הראשי.

6. בקטע אכיפת מדיניות, לוחצים על החלפה.

7. לוחצים על הוספת כלל.

8. בקטע ערכי מדיניות, בוחרים באפשרות בהתאמה אישית.

9. בקטע סוג המדיניות, בוחרים באפשרות אישור.

10. בתיבה ערכים מותאמים אישית, מזינים in:asia-locations.

11. לוחצים על סיום ואז על הגדרת מדיניות. תוצג התראה לאישור עדכון המדיניות.

‫asia-locations הוא קבוצת ערכים שאוצרה על ידי Google וכוללת כל מיקום באזור גיאוגרפי מסוים. במקרה הזה, כל אזור באסיה מוגדר כמיקום מותר לכל המשאבים שנוצרו אחרי הנקודה הזו. שימו לב שהמדיניות החדשה לא משפיעה על דיסק מתמשך אזורי שיצרתם, כי המדיניות לא חלה רטרואקטיבית.

בדיקה של מדיניות הארגון

עכשיו שמדיניות הארגון בתוקף, אי אפשר ליצור משאבים באזורים שלא צוינו כחלק ממדיניות הארגון. כדי לבדוק את זה, נסו ליצור דיסק לאחסון מתמיד אזורי במיקום לא תקין:

1. נכנסים לדף Disks במסוף Google Cloud .

   לפתיחת הדף Disks

2. בוחרים את הפרויקט שיצרתם.

3. לוחצים על Create Disk.

4. מציינים Name (שם) לדיסק.

5. בקטע מיקום, בוחרים באפשרות אזורי.

6. בקטע אזור, בוחרים באפשרות europe-north1 (Finland).

7. בשדה Zone, בוחרים באפשרות europe-north1-a.

8. בוחרים את אזור הרפליקה באותו אזור.

9. לוחצים על יצירה.

סימן קריאה אדום מופיע ליד השם, ומוצגת הודעת שגיאה:

Location ZONE:europe-north1-a violates constraint
constraints/gcp.resourceLocations on the resource RESOURCE_ID

‫RESOURCE_ID הוא נתיב המשאב המלא של הפרויקט והדיסק. הדיסק לא נוצר.

יצירת דיסק אזורי של אחסון מתמיד במיקום תקין

המגבלה של מדיניות הארגון חוסמת את יצירת המשאבים אלא אם מציינים מיקום תקין:

1. נכנסים לדף Disks במסוף Google Cloud .

   לפתיחת הדף Disks

2. בוחרים את הפרויקט שיצרתם.

3. לוחצים על Create Disk.

4. מציינים Name (שם) לדיסק.

5. בקטע מיקום, בוחרים באפשרות אזורי.

6. בקטע אזור, בוחרים באפשרות asia-east2 (Hong Kong).

7. בשדה Zone, בוחרים באפשרות asia-east2-a.

8. בוחרים את אזור הרפליקה באותו אזור.

9. לוחצים על יצירה.

המשאב נוצר בהצלחה כי כל האזורים שמתחת ל-asia-east2 נמצאים בקבוצת הערכים asia-locations.

הסרת המשאבים

כדי לא לצבור חיובים לחשבון Google Cloud על המשאבים שבהם השתמשתם בדף הזה, פועלים לפי השלבים הבאים:

מחיקת דיסקים לאחסון מתמיד אזורי

מוחקים את הדיסקים לאחסון מתמיד (persistent disks) האזוריים שיצרתם במדריך למתחילים:

1. נכנסים לדף Disks במסוף Google Cloud .

   לפתיחת הדף Disks

2. ברשימה שמופיעה, בוחרים את שני הדיסקים שיצרתם.

3. לוחצים על Delete.

4. בתיבת הדו-שיח לאישור שמופיעה, לוחצים על מחיקה.

תופיע תיבת דו-שיח עם הודעה לאישור מחיקת הדיסקים.

מחיקת הפרויקט

כדי להסיר את המשאבים, מוחקים את הפרויקט שיצרתם במדריך למתחילים:

1. במסוף Google Cloud , נכנסים לדף Manage resources.

   כניסה לדף Manage resources

2. ברשימת המשאבים שמופיעה, בוחרים את הפרויקט שיצרתם ולוחצים על מחיקה.

3. בתיבת הדו-שיח Shut down project שמופיעה, מזינים את מזהה הפרויקט ולוחצים על Shut down anyway.

המאמרים הבאים

• איך מחילים מדיניות ארגונית
• בודקים את השירותים שתומכים בהגבלת מיקומי המשאבים.