Creazione e gestione di vincoli personalizzati

La policy dell'organizzazioneGoogle Cloud offre un controllo centralizzato e programmatico sulle risorse della tua organizzazione. In qualità di amministratore delle policy dell'organizzazione, puoi definire una policy dell'organizzazione, ovvero un insieme di limitazioni chiamate vincoli che si applicano alle risorseGoogle Cloud e ai discendenti di queste risorse nella gerarchia delle risorseGoogle Cloud . Puoi applicare le policy dell'organizzazione a livello di organizzazione, cartella o progetto.

La policy dell'organizzazione fornisce vincoli predefiniti per vari serviziGoogle Cloud . Tuttavia, se vuoi un maggiore controllo dalle policy dell'organizzazione, puoi creare policy dell'organizzazione personalizzate.

Questo documento descrive come visualizzare, creare e gestire le policy dell'organizzazione personalizzate in qualità di amministratore. Con le policy dell'organizzazione personalizzate, puoi personalizzare il controllo sui campi specifici limitati dalle policy della tua organizzazione.

Prima di iniziare

• Per saperne di più su cosa sono le policy e i vincoli dell'organizzazione e su come funzionano, consulta la pagina Introduzione al servizio Policy dell'organizzazione.

Ruoli obbligatori

Per ottenere le autorizzazioni necessarie per gestire le policy dell'organizzazione, chiedi all'amministratore di concederti i seguenti ruoli IAM nell'organizzazione:

• Amministratore delle policy dell'organizzazione (roles/orgpolicy.policyAdmin)
• Per abilitare le API Google Cloud : Consumer servizi (roles/serviceusage.serviceUsageConsumer)

Per saperne di più sulla concessione dei ruoli, consulta Gestisci l'accesso a progetti, cartelle e organizzazioni.

Potresti anche riuscire a ottenere le autorizzazioni richieste tramite i ruoli personalizzati o altri ruoli predefiniti.

Puoi delegare l'amministrazione delle policy dell'organizzazione aggiungendo condizioni IAM al binding del ruolo Amministratore policy dell'organizzazione. Per controllare le risorse in cui un'entità può gestire le policy dell'organizzazione, puoi rendere l'associazione di ruolo condizionale a un particolare tag. Per saperne di più, consulta la pagina Utilizzo dei vincoli.

Vincoli personalizzati

Un vincolo personalizzato è definito in un file YAML, che specifica le risorse, i metodi, le condizioni e le azioni soggette al vincolo. Il comportamento dei vincoli personalizzati e i parametri supportati sono specifici per ogni servizio. Le condizioni per i vincoli personalizzati vengono definite utilizzando il Common Expression Language (CEL).

Configura un vincolo personalizzato

Puoi creare un vincolo personalizzato e configurarlo per l'utilizzo nelle policy dell'organizzazione utilizzando la console Google Cloud o Google Cloud CLI.

Console

Per creare un vincolo personalizzato:

1. Nella console Google Cloud , vai alla pagina Policy dell'organizzazione.

   Vai a Policy dell'organizzazione

2. Nel selettore di progetti, seleziona il progetto per cui vuoi impostare la policy dell'organizzazione.
3. Fai clic su Vincolo personalizzato.
4. Nella casella Nome visualizzato, inserisci un nome leggibile per il vincolo. Questo nome viene utilizzato nei messaggi di errore e può essere utilizzato per l'identificazione e il debug. Non utilizzare PII o dati sensibili nei nomi visualizzati, perché questo nome potrebbe essere esposto nei messaggi di errore. Questo campo può contenere fino a 200 caratteri.
5. Nella casella ID vincolo, inserisci il nome che vuoi assegnare al nuovo vincolo personalizzato. Un vincolo personalizzato può contenere solo lettere (maiuscole e minuscole) o numeri, ad esempio custom.disableGkeAutoUpgrade. Questo campo può contenere fino a 70 caratteri, senza contare il prefisso (custom.), ad esempio organizations/123456789/customConstraints/custom. Non includere PII o dati sensibili nell'ID vincolo, perché potrebbero essere esposti nei messaggi di errore.
6. Nella casella Descrizione, inserisci una descrizione leggibile del vincolo. Questa descrizione viene utilizzata come messaggio di errore in caso di violazione della policy. Includi dettagli sul motivo della violazione delle norme e su come risolverla. Non includere PII o dati sensibili nella descrizione, perché potrebbero essere esposti nei messaggi di errore. Questo campo può contenere fino a 2000 caratteri.
7. Nella casella Tipo di risorsa, seleziona il nome della risorsa REST Google Cloud contenente l'oggetto e il campo che vuoi limitare, ad esempio container.googleapis.com/NodePool. La maggior parte dei tipi di risorse supporta fino a 20 vincoli personalizzati. Se tenti di creare altri vincoli personalizzati, l'operazione non va a buon fine.
8. In Metodo di applicazione forzata, seleziona se applicare il vincolo a un metodo REST CREATE o a entrambi i metodi CREATE e UPDATE. Se applichi il vincolo con il metodo UPDATE a una risorsa che viola il vincolo, le modifiche a quella risorsa vengono bloccate dalla policy dell'organizzazione, a meno che la modifica non risolva la violazione.

Non tutti i servizi supportano entrambi i metodi. Google Cloud Per visualizzare i metodi supportati per ogni servizio, individua il servizio in Servizi supportati.

9. Per definire una condizione, fai clic su Modifica condizione.
1. Nel riquadro Aggiungi condizione, crea una condizione CEL che fa riferimento a una risorsa di servizio supportata, ad esempio resource.management.autoUpgrade == false. Questo campo può contenere fino a 1000 caratteri. Per informazioni dettagliate sull'utilizzo di CEL, consulta Common Expression Language. Per saperne di più sulle risorse di servizio che puoi utilizzare nei tuoi vincoli personalizzati, consulta Servizi supportati dai vincoli personalizzati.
2. Fai clic su Salva.
10. In Azione, seleziona se consentire o negare il metodo valutato se la condizione viene soddisfatta.

L'azione di negazione indica che l'operazione di creazione o aggiornamento della risorsa viene bloccata se la condizione restituisce il valore true.

L'azione Consenti significa che l'operazione di creazione o aggiornamento della risorsa è consentita solo se la condizione restituisce il valore true. Tutti gli altri casi, tranne quelli elencati esplicitamente nella condizione, vengono bloccati.

11. Fai clic su Crea vincolo.

Dopo aver inserito un valore in ogni campo, a destra viene visualizzata la configurazione YAML equivalente per questo vincolo personalizzato.

gcloud

1. Per creare un vincolo personalizzato, crea un file YAML utilizzando il seguente formato:

      name: organizations/ORGANIZATION_ID/customConstraints/CONSTRAINT_NAME
      resourceTypes:
      - RESOURCE_NAME
      methodTypes:
      - CREATE
      condition: "CONDITION"
      actionType: ACTION
      displayName: DISPLAY_NAME
      description: DESCRIPTION
      

Sostituisci quanto segue:

• ORGANIZATION_ID: l'ID della tua organizzazione, ad esempio 123456789.
• CONSTRAINT_NAME: il nome che vuoi assegnare al nuovo vincolo personalizzato. Un vincolo personalizzato può contenere solo lettere (maiuscole e minuscole) o numeri, ad esempio custom.disableGkeAutoUpgrade. Questo campo può contenere fino a 70 caratteri.
• RESOURCE_NAME: il nome completo della risorsa Google Cloud contenente l'oggetto e il campo che vuoi limitare. Ad esempio, container.googleapis.com/NodePool.
• CONDITION: una condizione CEL scritta in base a una rappresentazione di una risorsa di servizio supportata. Questo campo può contenere fino a 1000 caratteri. Ad esempio, "resource.management.autoUpgrade == false".
• ACTION: l'azione da eseguire se condition è soddisfatta. I valori possibili sono ALLOW e DENY.

L'azione allow indica che se la condizione restituisce true, l'operazione di creazione o aggiornamento della risorsa è consentita. Ciò significa anche che tutti gli altri casi, tranne quello elencato esplicitamente nella condizione, sono bloccati.

L'azione deny indica che se la condizione restituisce true, l'operazione di creazione o aggiornamento della risorsa viene bloccata.

• DISPLAY_NAME: un nome facile da ricordare per il vincolo. Questo campo può contenere fino a 200 caratteri.
• DESCRIPTION: una descrizione chiara del vincolo da visualizzare come messaggio di errore in caso di violazione della policy. Questo campo può contenere fino a 2000 caratteri.
2. Dopo aver creato il file YAML per un nuovo vincolo personalizzato, devi configurarlo per renderlo disponibile per le policy dell'organizzazione. Per impostare un vincolo personalizzato, utilizza il comando gcloud org-policies set-custom-constraint:

        gcloud org-policies set-custom-constraint CONSTRAINT_PATH
      

Sostituisci CONSTRAINT_PATH con il percorso completo del file del vincolo personalizzato. Ad esempio, /home/user/customconstraint.yaml.

Al termine di questa operazione, i vincoli personalizzati sono disponibili come policy dell'organizzazione nel tuo elenco di policy dell'organizzazione Google Cloud .

3. Per verificare che il vincolo personalizzato esista, utilizza il comando gcloud org-policies list-custom-constraints:

      gcloud org-policies list-custom-constraints --organization=ORGANIZATION_ID
      

Sostituisci ORGANIZATION_ID con l'ID della risorsa della tua organizzazione.

Per saperne di più, consulta Visualizzazione delle policy dell'organizzazione.

Aggiornare un vincolo personalizzato

Puoi aggiornare un vincolo personalizzato modificandolo nella consoleGoogle Cloud o creando un nuovo file YAML e utilizzando di nuovo il comando gcloud CLI set-custom-constraint. Non esiste il controllo delle versioni dei vincoli personalizzati, pertanto questo sovrascrive il vincolo personalizzato esistente. Se il vincolo personalizzato è già applicato, il vincolo personalizzato aggiornato ha effetto immediato.

Console

1. Nella console Google Cloud , vai alla pagina Policy dell'organizzazione.

   Vai a Policy dell'organizzazione

2. Seleziona il selettore di progetti nella parte superiore della pagina.

3. Nel selettore di progetti, seleziona la risorsa per cui vuoi aggiornare la policy dell'organizzazione.

4. Seleziona il vincolo che vuoi modificare dall'elenco nella pagina Policy dell'organizzazione per aprire la pagina Dettagli policy relativa al vincolo in questione.

5. Fai clic su Modifica vincolo.

6. Modifica il nome visualizzato, la descrizione, il metodo di applicazione, la condizione e l'azione. Non puoi modificare l'ID vincolo o il tipo di risorsa dopo la creazione del vincolo.

7. Fai clic su Salva modifiche.

gcloud

1. Ottieni il vincolo personalizzato attuale utilizzando il comando gcloud org-policies describe-custom-constraint.

   gcloud org-policies describe-custom-constraint CONSTRAINT_NAME \
     --organization=ORGANIZATION_ID \
     --format=FORMAT > PATH
   

   Sostituisci quanto segue:

   • ORGANIZATION_ID: l'ID della tua organizzazione, ad esempio 123456789.

   • CONSTRAINT_NAME: il nome del vincolo personalizzato, ad esempio custom.disableGkeAutoUpgrade.

   • FORMAT: il formato della policy di autorizzazione. Utilizza json o yaml.

   • PATH: il percorso di un nuovo file di output per il vincolo personalizzato.

2. Modifica la copia locale del vincolo personalizzato per riflettere le modifiche che vuoi apportare al nome visualizzato, alla descrizione, al metodo di applicazione, alla condizione e all'azione. Non puoi modificare l'ID vincolo o il tipo di risorsa dopo la creazione del vincolo.

3. Dopo aver aggiornato il file YAML per il vincolo personalizzato, configurarlo per renderlo disponibile per le policy dell'organizzazione. Per impostare un vincolo personalizzato, utilizza il comando gcloud org-policies set-custom-constraint:

   gcloud org-policies set-custom-constraint CONSTRAINT_PATH
   

   Sostituisci CONSTRAINT_PATH con il percorso completo del file del vincolo personalizzato.

Al termine dell'aggiornamento, il vincolo personalizzato aggiornato è disponibile per le policy dell'organizzazione. Se il vincolo originale è già applicato, il vincolo aggiornato ha effetto immediato.

Eliminare un vincolo personalizzato

Puoi eliminare un vincolo personalizzato utilizzando la console Google Cloud o Google Cloud CLI.

Console

1. Nella console Google Cloud , vai alla pagina Policy dell'organizzazione.

   Vai a Policy dell'organizzazione

2. Seleziona il selettore di progetti nella parte superiore della pagina.

3. Nel selettore di progetti, seleziona la risorsa per cui vuoi eliminare la policy dell'organizzazione.

4. Seleziona il vincolo che vuoi eliminare dall'elenco nella pagina Policy dell'organizzazione per aprire la pagina Dettagli policy relativa al vincolo in questione.

5. Fai clic su Elimina.

6. Per confermare l'eliminazione del vincolo, fai clic su Elimina.

gcloud

Per eliminare un vincolo personalizzato, utilizza il comando gcloud CLI org-policies delete-custom-constraint:

gcloud org-policies delete-custom-constraint custom.CONSTRAINT_NAME \
  --organization=ORGANIZATION_ID

Sostituisci quanto segue:

• ORGANIZATION_ID: l'ID della tua organizzazione, ad esempio 123456789.

• CONSTRAINT_NAME: il nome del vincolo personalizzato. Ad esempio, custom.disableGkeAutoUpgrade.

L'output è simile al seguente:

Deleted custom constraint [organizations/123456789/customConstraints/custom.disableGkeAutoUpgrade]

Se elimini un vincolo personalizzato, tutte le policy create utilizzando questo vincolo continuano a esistere, ma vengono ignorate. Non puoi creare un altro vincolo personalizzato con lo stesso nome di un vincolo personalizzato eliminato.

Testare e analizzare le modifiche alla policy dell'organizzazione

Ti consigliamo di testare e provare tutte le modifiche alle norme della tua organizzazione per capire in che modo influiscono sul tuo ambiente.

Policy Simulator per i criteri dell'organizzazione ti aiuta a comprendere l'effetto di un vincolo e di un criterio dell'organizzazione sul tuo ambiente attuale. Utilizzando questo strumento, puoi esaminare tutte le configurazioni delle risorse per vedere dove si verificano le violazioni, prima che il criterio venga applicato al tuo ambiente di produzione. Per istruzioni dettagliate, vedi Testa le modifiche alla policy dell'organizzazione con Policy Simulator.

Quando comprendi l'effetto attuale, puoi creare un criterio dell'organizzazione in modalità di prova per comprendere l'impatto e le potenziali violazioni di un criterio nei prossimi 30 giorni. Una policy dell'organizzazione in modalità dry run è un tipo di policy dell'organizzazione in cui le violazioni della policy vengono registrate nel log di controllo, ma le azioni che violano la policy non vengono rifiutate. Puoi creare una policy dell'organizzazione in modalità di prova da un vincolo personalizzato utilizzando la console Google Cloud o Google Cloud CLI. Per istruzioni dettagliate, vedi Creare una policy dell'organizzazione in modalità dry run.

Forza l'applicazione di una policy dell'organizzazione personalizzata

Una volta configurato, un vincolo personalizzato funziona in modo identico ai vincoli booleani predefiniti. Google Cloud Controlla prima i vincoli personalizzati quando valuta se una richiesta utente è consentita. Se una delle policy personalizzate dell'organizzazione nega la richiesta, quest'ultima viene rifiutata. Poi, Google Cloud controlla i criteri dell'organizzazione predefiniti applicati a quella risorsa.

Puoi applicare un vincolo creando una policy dell'organizzazione che lo richiami e poi applicando questa policy dell'organizzazione a una risorsa Google Cloud .

Console

1. Nella console Google Cloud , vai alla pagina Policy dell'organizzazione.

   Vai a Policy dell'organizzazione

2. Nel selettore di progetti, seleziona il progetto per cui vuoi impostare la policy dell'organizzazione.
3. Nell'elenco della pagina Policy dell'organizzazione, seleziona il vincolo per visualizzare la pagina Dettagli policy relativa al vincolo in questione.
4. Per configurare la policy dell'organizzazione per questa risorsa, fai clic su Gestisci policy.
5. Nella pagina Modifica policy, seleziona Esegui override della policy dell'unità organizzativa principale.
6. Fai clic su Aggiungi una regola.
7. Nella sezione Applicazione, seleziona se questa policy dell'organizzazione è applicata o meno.
8. (Facoltativo) Per rendere la policy dell'organizzazione condizionale su un tag, fai clic su Aggiungi condizione. Tieni presente che se aggiungi una regola condizionale a una policy dell'organizzazione, devi aggiungere almeno una regola non condizionale, altrimenti la policy non può essere salvata. Per saperne di più, consulta Impostazione di una policy dell'organizzazione con tag.
9. Fai clic su Testa modifiche per simulare l'effetto della policy dell'organizzazione. Per saperne di più, consulta Testa le modifiche alla policy dell'organizzazione con Policy Simulator.
10. Per applicare la policy dell'organizzazione in modalità dry run, fai clic su Imposta policy dry run. Per maggiori informazioni, consulta Crea una policy dell'organizzazione in modalità dry run.
11. Dopo aver verificato che la policy dell'organizzazione in modalità di prova funziona come previsto, imposta la policy attiva facendo clic su Imposta policy.

gcloud

1. Per creare una policy dell'organizzazione con regole booleane, crea un file YAML della policy che faccia riferimento al vincolo:

        name: projects/PROJECT_ID/policies/CONSTRAINT_NAME
        spec:
          rules:
          - enforce: true
        
        dryRunSpec:
          rules:
          - enforce: true
        
      

Sostituisci quanto segue:

• PROJECT_ID: il progetto su cui vuoi applicare il vincolo.
• CONSTRAINT_NAME: il nome definito per il vincolo personalizzato. Ad esempio: custom.disableGkeAutoUpgrade.
2. Per applicare la policy dell'organizzazione in modalità dry run, esegui il seguente comando con il flag dryRunSpec:

        gcloud org-policies set-policy POLICY_PATH \
          --update-mask=dryRunSpec
      

Sostituisci POLICY_PATH con il percorso completo del file YAML della policy dell'organizzazione. L'applicazione della policy può richiedere fino a 15 minuti.

3. Dopo aver verificato che la policy dell'organizzazione in modalità dry run funziona come previsto, imposta la policy live con il comando org-policies set-policy e il flag spec:

        gcloud org-policies set-policy POLICY_PATH \
          --update-mask=spec
      

Sostituisci POLICY_PATH con il percorso completo del file YAML della policy dell'organizzazione. L'applicazione della policy può richiedere fino a 15 minuti.

Vincolo di esempio

Puoi definire vincoli personalizzati simili a quelli predefiniti forniti da Google. Un tipico file YAML di vincolo personalizzato ha un aspetto simile al seguente:

name: organizations/1234567890123/customConstraints/custom.disableGkeAutoUpgrade
resourceTypes:
- container.googleapis.com/NodePool
methodTypes:
- CREATE
- UPDATE
condition: "resource.management.autoUpgrade == false"
actionType: ALLOW
displayName: Disable GKE auto upgrade
description: Only allow GKE NodePool resource to be created or updated if
AutoUpgrade is not enabled where this custom constraint is enforced.

Common Expression Language

Il servizio Criteri dell'organizzazione utilizza Common Expression Language (CEL) per valutare le condizioni sui vincoli personalizzati. CEL è un linguaggio open source non Turing completo che implementa la semantica comune per la valutazione delle espressioni.

Ogni servizio che supporta i vincoli personalizzati rende disponibile un insieme particolare di risorse e i campi di queste risorse. I campi disponibili sono fortemente tipizzati e possono essere referenziati direttamente da vincoli personalizzati.

Puoi creare condizioni CEL che fanno riferimento ai campi delle risorse di servizio in base al tipo di campo. Organization Policy Service supporta un sottoinsieme di tipi di dati, espressioni e macro CEL. Le sezioni seguenti elencano i tipi di dati disponibili e le espressioni e le macro comuni che funzionano con questi tipi di dati.

• Numero intero
• Stringa
• Booleano
• Elenca
• Mappa

Per informazioni dettagliate su quali espressioni e macro sono disponibili per ogni servizio, vedi Servizi supportati per i vincoli personalizzati.

Il seguente esempio JSON mostra ciascuno dei potenziali tipi di campi a cui puoi fare riferimento utilizzando i vincoli personalizzati:

{
  "integerValue": 1,
  "stringValue": "A text string",
  "booleanValue": true,
  "nestedValue": {
    "nestedStringValue": "Another text string"
  },
  "listValue": ["foo", "bar"],
  "mapValue": {
    "costCenter": "123"
  }
}

Per ogni espressione CEL, il vincolo personalizzato viene applicato quando la condizione restituisce il valore true. Puoi combinare le espressioni con and (&&) e or (||) per creare una query complessa. Quando crei il file YAML o JSON per il vincolo personalizzato, racchiudi l'intera query tra virgolette doppie (").

Numero intero

I campi interi, come integerValue nell'esempio precedente, consentono di utilizzare gli operatori di confronto nelle condizioni. Ad esempio:

resource.integerValue == 1
resource.integerValue > 5
resource.integerValue < 10

Stringa

I campi stringa, come stringValue nell'esempio precedente, possono essere valutati utilizzando un valore letterale stringa, un'espressione regolare o un'espressione CEL. Ad esempio:

resource.stringValue == "abc"
// stringValue is exactly "abc".

resource.stringValue.matches("dev$")
// stringValue matches a regular expression, which specifies the string ends
// with the word "dev".

resource.stringValue.startsWith("startValue")
// stringValue starts with "startValue".

resource.stringValue.endsWith("endValue")
// stringValue ends with "endValue".

resource.stringValue.contains("fooBar")
// stringValue contains "fooBar".

I campi nidificati, come nestedStringValue nell'esempio precedente, devono essere riferiti con il percorso completo. Ad esempio:

resource.nestedValue.nestedStringValue == "foo"
// nestedValue contains the object nestedStringValue, which has a value of "foo".

Booleano

I campi booleani, come booleanValue nell'esempio precedente, contengono un valore booleano, che è true o false.

Elenco

I campi elenco, come listValue nell'esempio precedente, possono essere valutati in base alle dimensioni dell'elenco, ai contenuti dell'elenco e all'esistenza di un particolare elemento in qualsiasi punto dell'elenco.

Ad esempio:

resource.listValue.size() >= 1 && resource.listValue[0] == "bar"
// listValue has size greater than or equal to one, and the first element is "bar".

resource.listValue.exists(value, value == "foo")
// listValue has at least one element that is exactly "foo".

resource.listValue.all(value, value.contains("foo"))
// listValue is a list of values that are all exactly "foo".

Avviso: l'esecuzione di query su un valore di elenco inesistente restituisce un errore BAD_CONDITION. Questo errore blocca tutta la creazione della risorsa specificata in cui viene applicata la policy dell'organizzazione personalizzata. Per evitare questo errore, utilizza i metodi all(), any() o exists(). Se vuoi eseguire una query su un indice specifico, verifica prima che l'indice esista utilizzando il metodo size(). Ad esempio: listValue.size() >= 1 && resource.listValue[0] == "bar".

Mappa

I campi della mappa, come mapValue nell'esempio precedente, sono coppie chiave-valore che possono essere valutate in base all'esistenza e al valore di determinati elementi.

Ad esempio:

has(resource.mapValue.foo) && resource.mapValue.foo == "bar"
// mapValue contains the key "foo", and that key has the value "bar".

Avviso: l'esecuzione di query su un valore della mappa che non esiste restituisce un errore BAD_CONDITION. Questo errore blocca tutta la creazione della risorsa specificata in cui viene applicata la policy dell'organizzazione personalizzata. Per evitare questo errore, controlla sempre che il valore esista prima utilizzando il metodo has(). Ad esempio: has(map.key) && map.key == "value".

Risoluzione dei problemi relativi ai vincoli personalizzati

Le sezioni seguenti descrivono i problemi comuni relativi alla creazione di vincoli personalizzati e introducono soluzioni alternative per questi problemi.

Errori di tipo di metodo

I vincoli personalizzati vengono creati con un elenco di metodi da applicare, in genere CREATE o sia CREATE che UPDATE. Se specifichi un tipo di metodo non supportato da una risorsa, ad esempio il metodo UPDATE per le risorse immagine Compute Engine, non puoi salvare il vincolo personalizzato.

Tag non valutati

I tag sulle risorse di organizzazione, cartella o progetto sono supportati dai vincoli personalizzati. Per saperne di più sui servizi che supportano i tag, consulta la documentazione specifica del servizio.

Limitazioni tra servizi

Alcuni servizi, come Compute Engine, coinvolgono un gran numero di risorse correlate. Il messaggio di errore per una violazione dei criteri dell'organizzazione personalizzati viene visualizzato quando si verifica la violazione, anche se il vincolo personalizzato riguarda un servizio diverso.

Ad esempio, un'azione Dataproc potrebbe essere bloccata da un vincolo personalizzato sulle risorse Compute Engine.

Risoluzione dei problemi relativi agli errori CEL

Organization Policy Service compila e convalida le condizioni che crei, restituendo un errore se la condizione non è sintatticamente corretta. Se non riesci a creare o salvare un vincolo personalizzato, probabilmente si è verificato un errore di sintassi CEL non valido, che devi risolvere prima.

Nella console Google Cloud , gli errori di sintassi CEL non validi verranno contrassegnati con un'icona Errore. Se evidenzi questa icona, viene visualizzata una descrizione comando contenente ulteriori informazioni sull'errore di sintassi.

Alcune condizioni potrebbero essere compilate, ma causare un errore quando Google Cloud tenta di applicare i vincoli. Ad esempio, se configuri un vincolo con una condizione che tenta di accedere a un indice di elenco o a una chiave di mappa che non esiste, il vincolo non viene applicato e restituisce un errore al momento dell'applicazione, e blocca qualsiasi tentativo di creare la risorsa.

Le sezioni seguenti descrivono gli errori CEL comuni e le potenziali soluzioni alternative per questi errori.

Espressione non valida o mancata corrispondenza del tipo

Una condizione creata con espressioni non valide o mancata corrispondenza dei tipi restituisce un errore quando tenti di configurare il vincolo personalizzato. Ad esempio, dato il seguente vincolo personalizzato non valido, che confronta una stringa con un numero intero:

name: organizations/1234567890123/customConstraints/custom.badConfig
resourceTypes:
- dataproc.googleapis.com/Cluster
methodTypes:
- CREATE
- UPDATE
condition: "resource.config.masterConfig.numInstances == 'mismatch'"
actionType: ALLOW
displayName: Number of instances is a string
description: Demonstrate that type mismatches cause an error.

Se provi a configurare questo vincolo utilizzando Google Cloud CLI, viene generato un errore:

ERROR: (gcloud.org-policies.set-custom-constraint) INVALID_ARGUMENT: Custom constraint condition [resource.config.masterConfig.numInstances == "mismatch"] is invalid. Error: ERROR: <input>:1:15: found no matching overload for '_==_' applied to '(int, string)' (candidates: (%A0, %A0))
 | resource.config.masterConfig.numInstances == "mismatch"
 | ..........................................^.

Nella console Google Cloud , gli errori di sintassi CEL non validi verranno contrassegnati con un'icona Errore. Se evidenzi questa icona, viene visualizzata una descrizione comando contenente ulteriori informazioni sull'errore di sintassi.

Il servizio Policy dell'organizzazione compila e convalida le condizioni che crei, restituendo un errore se la condizione non è sintatticamente corretta. Tuttavia, alcune condizioni potrebbero essere compilate, ma restituire un errore quando Google Cloud tenta di applicare i vincoli. Ad esempio, se configuri un vincolo con una condizione che tenta di accedere a un indice di elenco o a una chiave di mappa inesistente, il vincolo non va a buon fine e restituisce un errore al momento dell'applicazione, bloccando qualsiasi tentativo di creare la risorsa.

Quando crei condizioni che dipendono da elementi di elenchi o mappe, ti consigliamo di iniziare la condizione con un controllo che garantisca che sia valida in tutti i casi. Ad esempio, controlla list.size() prima di fare riferimento a un particolare elemento dell'elenco o utilizza has() prima di fare riferimento a un elemento della mappa.

Servizi supportati

Ogni servizio definisce l'insieme di campi di vincoli personalizzati che possono essere utilizzati per applicare le policy dell'organizzazione alle risorse del servizio. Per un elenco dei servizi che supportano i vincoli personalizzati, consulta Servizi che supportano i vincoli personalizzati.

Per saperne di più sulla configurazione di uno scanner delle policy dell'organizzazione, consulta Risultati delle vulnerabilità delle policy dell'organizzazione.

Applicazione di tag obbligatori alle risorse

Anteprima

Questo prodotto o funzionalità è soggetto ai "Termini delle offerte pre-GA" nella sezione Termini di servizio generali dei Termini specifici dei servizi. I prodotti e le funzionalità pre-GA sono disponibili "così come sono" e potrebbero avere un supporto limitato. Per ulteriori informazioni, consulta le descrizioni delle fasi di lancio.

Puoi applicare tag obbligatori alle risorse utilizzando una policy dell'organizzazione personalizzata. Quando applichi i tag obbligatori, puoi creare solo risorse che rispettano le norme di tagging della tua organizzazione, ovvero le risorse sono associate ai valori dei tag per le chiavi dei tag obbligatori specificate nelle norme. Per saperne di più, consulta Configura un vincolo personalizzato per applicare i tag.

Passaggi successivi

• Scopri di più sui vincoli.
• Scopri di più sulle opzioni aggiuntive che puoi utilizzare per personalizzare le tue policy.
• Scopri come impostare i criteri dell'organizzazione in base ai tag.
• Consulta la libreria di norme personalizzate dell'organizzazione su GitHub.
• Scopri di più sulla convalida e sul monitoraggio delle policy dell'organizzazione con Config Validator.