Restringe el uso de servicios

En esta página, se proporciona una descripción general de la restricción de la política de la organización Restrict Resource Service Usage, que permite a los administradores empresariales controlar qué servicios deGoogle Cloud se pueden usar dentro de su jerarquía de recursos de Google Cloud. Esta restricción solo se puede aplicar a los servicios con recursos que son descendientes directos de un recurso de organización, carpeta o proyecto. Por ejemplo, Compute Engine y Cloud Storage.

La restricción Restrict Resource Service Usage excluye ciertos servicios que son dependencias esenciales para los productos de Google Cloud, como Identity and Access Management (IAM), Cloud Logging y Cloud Monitoring, y no funcionará con ellos. Para obtener la lista de servicios de recursos de Cloud que admite esta restricción, consulta Servicios que admiten la restricción del uso del servicio.

Los administradores pueden usar esta restricción para definir restricciones jerárquicas sobre los servicios de recursos Google Cloud permitidos dentro de un contenedor de recursos, como una organización, una carpeta o un proyecto. Por ejemplo, permitir storage.googleapis.com en el proyecto X o denegar compute.googleapis.com en la carpeta Y. Esta restricción también determina la disponibilidad de la consola deGoogle Cloud .

La restricción Restrict Resource Service Usage se puede usar de dos maneras mutuamente exclusivas:

  • Lista de bloqueo: Se permiten los recursos de cualquier servicio que no se rechace.

  • Lista de entidades permitidas: Se rechazan los recursos de cualquier servicio que no esté permitido.

La restricción Restrict Resource Service Usage controla el acceso en el tiempo de ejecución a todos los recursos dentro del alcance. Cuando se actualiza la política de la organización que contiene esta restricción, se aplica de inmediato a todo el acceso a todos los recursos dentro del alcance de la política, con coherencia eventual.

Recomendamos que los administradores gestionen con cuidado las actualizaciones de las políticas de la organización que contengan esta restricción. Puedes implementar este cambio de política de forma más segura si usas etiquetas para aplicar la restricción de forma condicional. Para obtener más información, consulta Cómo definir el alcance de las políticas de la organización con etiquetas.

Cuando un servicio está restringido por esta política, algunos Google Cloud servicios que tienen una dependencia directa del servicio restringido también se restringirán. Esto solo se aplica a los servicios que administran los mismos recursos del cliente. Por ejemplo, Google Kubernetes Engine (GKE) depende de Compute Engine. Cuando se restringe Compute Engine, también se restringe GKE.

Disponibilidad de la consola deGoogle Cloud

Los servicios restringidos en la consola de Google Cloud se comportan de la siguiente manera:

  • No puedes navegar a un producto con el menú .
  • Los servicios restringidos no aparecen en los resultados de la búsqueda de la Google Cloud consola.
  • Cuando navegas a la página de la consola de un servicio restringido, por ejemplo, desde un vínculo o un marcador, aparece un mensaje de error. Google Cloud

Usa la restricción Restrict Resource Service Usage

Las restricciones de la política de la organización se pueden establecer a nivel de la organización, la carpeta y el proyecto. Cada política se aplica a todos los recursos dentro de su jerarquía de recursos correspondiente, pero se puede anular en niveles inferiores de la jerarquía de recursos.

Para obtener más información sobre la evaluación de políticas, consulta Evaluación de jerarquías.

Configura la política de la organización

Si deseas establecer, cambiar o borrar una política de la organización, debes tener la función de Administrador de políticas de la organización.

Console

Para establecer una política de la organización que incluya una restricción de Restrict Resource Service Usage, haz lo siguiente:

  1. En la consola de Google Cloud , accede a la página Políticas de la organización.

    Ir a Políticas de la organización

  2. En el selector de proyectos, selecciona el recurso en el que deseas configurar la política de la organización.

  3. En la tabla de políticas de la organización, selecciona Restrict Resource Service Usage.

  4. Haz clic en Administrar política.

  5. En Se aplica a, selecciona Anular la política del elemento superior.

  6. En Aplicación de la política, elige cómo aplicar la herencia a esta política.

    1. Si deseas heredar la política de la organización del recurso superior y combinarla con esta, selecciona Combinar con superior.

    2. Si deseas anular las políticas de una organización existente, selecciona Reemplazar.

  7. Haz clic en Agregar una regla.

  8. En Valores de la política, selecciona Personalizar.

  9. En Tipo de política, selecciona Rechazar para la lista de bloqueo o Permitir para la lista de entidades permitidas.

  10. En Valores personalizados, agrega el servicio que deseas bloquear o permitir a la lista.

    1. Por ejemplo, para bloquear Cloud Storage, puedes ingresar storage.googleapis.com.

    2. Para agregar más servicios, haz clic en Agregar valor.

  11. Para aplicar la política, haz clic en Establecer política.

gcloud

Las políticas de la organización se pueden configurar a través de Google Cloud CLI. Para aplicar una política de la organización que incluya la restricción Restrict Resource Service Usage, primero crea un archivo YAML con la política que se actualizará:

name: organizations/ORGANIZATION_ID/policies/gcp.restrictServiceUsage
spec:
  rules:
  - values:
      deniedValues:
      - file.googleapis.com
      - bigquery.googleapis.com
      - storage.googleapis.com

Reemplaza ORGANIZATION_ID por el ID del recurso de tu organización. Para establecer esta política en esa organización, ejecuta el siguiente comando:

gcloud org-policies set-policy /tmp/policy.yaml

Para obtener información sobre el uso de restricciones en las políticas de la organización, consulta Crea políticas de la organización.

Restringe los recursos sin etiquetar

Puedes usar etiquetas y políticas de la organización condicionales para restringir los recursos que no usen una etiqueta en particular. Si estableces una política de la organización en un recurso que restringe los servicios y la condicionas a la presencia de una etiqueta, no se podrá usar ningún recurso secundario que descienda de ese recurso, a menos que se le haya agregado una etiqueta. De esta manera, los recursos deben configurarse de acuerdo con tu plan de gobierno antes de que puedan usarse.

Para restringir los recursos de la organización, la carpeta o el proyecto sin etiquetar, puedes usar el operador lógico ! en una consulta condicional cuando crees tu política de la organización.

Por ejemplo, para permitir el uso de sqladmin.googleapis.com solo en proyectos que tengan la etiqueta sqladmin=enabled, puedes crear una política de la organización que deniegue sqladmin.googleapis.com en proyectos que no tengan la etiqueta sqladmin=enabled.

  1. Crea una etiqueta que identifique si se aplicó la gobernanza adecuada a los recursos. Por ejemplo, puedes crear una etiqueta con la clave sqlAdmin y el valor enabled para designar que este recurso debe permitir el uso de la API de Cloud SQL Admin. Por ejemplo:

    Cómo crear una clave y un valor de etiqueta

  2. Haz clic en el nombre de la etiqueta recién creada. Necesitarás el nombre con espacio de nombres de la clave de la etiqueta, que se indica en Ruta de acceso de la clave de la etiqueta, en los pasos siguientes para crear una condición.

  3. Crea una política de la organización Restrict Resource Service Usage a nivel de tu recurso de organización para denegar el acceso a la API de Cloud SQL Admin. Por ejemplo:

    Crea una política de la organización para restringir recursos

  4. Agrega una condición a la política de la organización anterior para especificar que la política se aplica si no está presente la etiqueta de gobernanza. El operador de lógica NOT no es compatible con el creador de condiciones, por lo que esta condición se debe crear en el editor de condiciones. Por ejemplo:

    Cómo compilar una política de la organización condicional

    !resource.matchTag("012345678901/sqlAdmin", "enabled")

Ahora, la etiqueta sqlAdmin=enabled debe adjuntarse a un proyecto o heredarse de él antes de que tus desarrolladores puedan usar la API de Cloud SQL Admin con ese proyecto.

Para obtener más información sobre cómo crear políticas de la organización condicionales, consulta Cómo definir el alcance de las políticas de la organización con etiquetas.

Crea una política de la organización en modo de ejecución de prueba

Una política de la organización en modo de ejecución de prueba es un tipo de política de la organización en la que se registran los incumplimientos de la política en el registro de auditoría, pero no se rechazan las acciones que incumplen la política. Puedes crear una política de la organización en el modo de ejecución de prueba con la restricción Restrict Resource Service Usage para supervisar cómo afectaría a tu organización antes de aplicar la política activa. Para obtener más información, consulta Cómo probar políticas de la organización.

Mensaje de error

Si configuras una política de la organización para denegar el servicio A dentro de la jerarquía de recursos B, cuando un cliente intente usar el servicio A dentro de la jerarquía de recursos B, la operación fallará. Se devuelve un error que describe el motivo de esta falla. Además, se generará una entrada de AuditLog para una mayor supervisión, alertas o depuración.

Ejemplo de mensaje de error

Request is disallowed by organization's constraints/gcp.restrictServiceUsage
constraint for projects/PROJECT_ID attempting to use service
storage.googleapis.com.

Ejemplo de registros de auditoría de Cloud

Captura de pantalla de una entrada de registro de auditoría de ejemplo