Prueba restricciones personalizadas con Gemini Cloud Assist

Antes de comenzar

Roles obligatorios

Para obtener los permisos que necesitas para administrar las políticas de la organización, pídele a tu administrador que te otorgue los siguientes roles de IAM en la organización:

Para obtener más información sobre cómo otorgar roles, consulta Administra el acceso a proyectos, carpetas y organizaciones.

También puedes obtener los permisos necesarios a través de roles personalizados o cualquier otro rol predefinido.

Puedes delegar la administración de las políticas de la organización agregando condiciones de IAM a la vinculación del rol de administrador de políticas de la organización. Para controlar los recursos en los que un principal puede administrar políticas de la organización, puedes hacer que la vinculación del rol dependa de una etiqueta en particular. Para obtener más información, consulta Usa restricciones.

Restricciones personalizadas

Una restricción personalizada se crea en un archivo YAML que especifica los recursos, los métodos, las condiciones y las acciones que están sujetos a la restricción. Estos son específicos del servicio en el que aplicas la política de la organización. Las condiciones para tu restricción personalizada se definen con Common Expression Language (CEL).

Configura una restricción personalizada

Puedes crear una restricción personalizada y configurarla para su uso en las políticas de la organización con Gemini Cloud Assist.

  1. En la consola de Google Cloud , ve a la página Políticas de la organización.

    Ir a Políticas de la organización

  2. En el selector de proyectos que se encuentra en la parte superior de la página, selecciona el proyecto para el que deseas configurar la política de la organización.

  3. En el banner Crea restricciones de organización personalizadas con Gemini, haz clic en Crear restricción.

  4. En el panel Cloud Assist, envía una instrucción que describa la restricción personalizada que deseas generar. Por ejemplo:

    "Restringe el tamaño del disco de arranque a 250 GB o menos para todos los recursos de compute.googleapis.com/Disk".

  5. Revisa la respuesta, que incluye el código generado para la restricción y detalles adicionales sobre cómo funciona la restricción, para verificar que la restricción logre tu objetivo.

  6. Opcional: Si la restricción necesita modificaciones, envía una instrucción con los cambios requeridos. Por ejemplo, "¿puedes agregar asia-east1?" le indica a Gemini Cloud Assist que agregue la configuración regional asia-east1 en el lugar pertinente de tu restricción.

  7. Opcional: Puedes usar Gemini Cloud Assist para definir recursos de prueba y simular la restricción para verificar que funcione según lo previsto. Para obtener más información, consulta Cómo probar restricciones personalizadas con Gemini Cloud Assist.

  8. Para crear una política de la organización personalizada con tu nueva restricción, haz clic en Insertar para crear restricción. Aparecerá la ventana Crear restricción personalizada, con los campos completados por la restricción personalizada generada. Puedes probar o crear la política de la organización personalizada de la manera habitual.

Prueba restricciones personalizadas con Gemini Cloud Assist

Puedes probar las restricciones personalizadas que crees con el flujo de trabajo de Gemini Cloud Assist para configurar una restricción personalizada. Después de crear tu restricción personalizada, Gemini Cloud Assist puede ayudarte a crear un conjunto de recursos para probar esa restricción y, luego, simular el efecto que tendrá en esos recursos.

  1. Para crear la restricción personalizada, usa el flujo de trabajo de Gemini Cloud Assist para configurar una restricción personalizada.

  2. Después de generar la restricción personalizada, haz clic en Configurar recursos de prueba. Esto genera una lista de configuraciones de recursos, cada una de las cuales se etiqueta como compatible o no compatible con la restricción personalizada. La columna de atributos describe los atributos únicos de cada recurso.

    Para cada recurso que cumple con los requisitos o no, se genera una lista de comandos de gcloud CLI que puedes usar para crear los recursos definidos en los casos de prueba.

  3. Para crear los recursos de prueba, ingresa los comandos de gcloud CLI generados en la shell o en la consola de gcloud CLI. Para obtener más información y conocer las instrucciones para solucionar problemas, consulta la documentación del servicio específico de Google Cloudrelacionado con tus recursos de prueba.

  4. Para generar una lista de los comandos de la gcloud CLI que puedes usar para borrar los recursos creados para probar tu restricción personalizada, haz clic en Generate Cleanup Commands. Copia estos comandos para usarlos más adelante.

  5. Después de generar los recursos, espera al menos 10 minutos para que estén listos para la simulación.

  6. Para simular el efecto que tendrá tu política de la organización personalizada en tus recursos, haz clic en Comenzar simulación.

  7. Revisa los detalles de la simulación pendiente y, luego, haz clic en Confirmar. La simulación puede tardar hasta una hora en completarse.

    1. Para ver los resultados de la simulación, ve a la página Historial de simulaciones.

      Ir al historial de simulación

    2. Selecciona la simulación para ver sus detalles. Si no se ven los resultados de la simulación, selecciona tu organización en el selector de proyectos en la parte superior de la página.

      En la página Detalles de la simulación, puedes ver la cantidad de incumplimientos, la cantidad de recursos verificados, la fecha de la simulación y una lista de todos los recursos con configuraciones que no cumplen con los requisitos.

      También puedes establecer la política de la organización simulada en modo de ejecución de prueba haciendo clic en Establecer política de ejecución de prueba.

      Para obtener más información, consulta Prueba los cambios en las políticas de la organización con Policy Simulator.

  8. Para limpiar los recursos de prueba, ingresa los comandos de gcloud CLI generados en la consola de gcloud CLI o de shell.

¿Qué sigue?