使用 Gemini Cloud Assist 测试自定义限制条件

准备工作

所需的角色

如需获得管理组织政策所需的权限，请让管理员向您授予组织的以下 IAM 角色：

如需详细了解如何授予角色，请参阅管理对项目、文件夹和组织的访问权限。

您也可以通过自定义角色或其他预定义角色来获取所需的权限。

您可以通过向组织政策管理员角色绑定添加 IAM 条件来委托组织政策的管理权限。如需控制主账号可以管理组织政策的资源，您可以使角色绑定以特定标记为条件。如需了解详情，请参阅使用限制条件。

自定义限制条件

自定义限制条件是在 YAML 文件中创建的，该文件指定了受限制条件约束的资源、方法、条件和操作。这些限制条件特定于您要强制执行组织政策的服务。自定义限制条件的条件是使用通用表达式语言 (CEL) 定义的。

设置自定义限制条件

您可以使用 Gemini Cloud Assist 创建自定义限制条件并将其设置为在组织政策中使用。

  1. 在 Google Cloud 控制台中，转到组织政策页面。

    转到组织政策

  2. 在页面顶部的项目选择器中，选择要为其设置组织政策的项目。

  3. 在使用 Gemini 创建自定义组织限制条件横幅中，点击创建限制条件。

  4. 在 Cloud Assist 窗格中，发送描述您要生成的自定义限制的提示。例如：

    “将所有 compute.googleapis.com/Disk 资源的启动磁盘大小限制为 250 GB 或更小。”

  5. 查看响应（其中包含限制的生成代码以及有关限制如何运作的其他详细信息），以验证该限制是否实现了您的目标。

  6. 可选：如果需要修改限制条件，请发送包含所需更改的提示。例如，“can you add asia-east1”会指示 Gemini Cloud Assist 将 asia-east1 语言区域添加到限制中的相关位置。

  7. 可选：您可以使用 Gemini Cloud Assist 定义测试资源并模拟限制，以验证其是否按预期运行。如需了解详情，请参阅使用 Gemini Cloud Assist 测试自定义限制条件。

  8. 如需使用新限制条件创建自定义组织政策，请点击插入以创建限制条件。系统会显示创建自定义限制条件窗口，其中包含已生成的自定义限制条件填充的字段。您可以像往常一样测试或创建自定义组织政策。

使用 Gemini Cloud Assist 测试自定义限制条件

您可以使用 Gemini Cloud Assist 工作流测试您创建的自定义限制条件，以设置自定义限制条件。创建自定义限制后，Gemini Cloud Assist 可以帮助创建一组资源来测试该自定义限制，然后模拟该自定义限制对这些资源的影响。

  1. 如需创建自定义限制条件，请使用 Gemini Cloud Assist 工作流设置自定义限制条件。

  2. 生成自定义约束条件后，点击设置测试资源。 这会生成一个资源配置列表，其中每项配置都标记为符合或不符合自定义限制条件。“属性”列描述了每种资源的唯一属性。

    对于每个合规或不合规的资源，系统都会生成一个 gcloud CLI 命令列表，您可以使用这些命令来创建测试用例中定义的资源。

  3. 在 shell 或 gcloud CLI 控制台中输入生成的 gcloud CLI 命令，以创建测试资源。如需详细了解如何排查问题，请参阅与测试资源相关的特定 Google Cloud服务的文档。

  4. 如需生成可用于删除为测试自定义限制条件而创建的资源的 gcloud CLI 命令列表，请点击 Generate Cleanup Commands。复制这些命令以供日后使用。

  5. 生成资源后，请留出至少 10 分钟的时间，以便资源准备就绪，可用于模拟。

  6. 如需模拟自定义组织政策对资源的影响，请点击开始模拟。

  7. 查看待处理模拟的详细信息，然后点击确认。 模拟最多可能需要一个小时才能完成。

    1. 如需查看模拟结果，请前往模拟历史记录页面。

      前往“模拟运行的历史记录”

    2. 选择模拟以查看其详细信息。如果看不到模拟结果，请从页面顶部的项目选择器中选择您的组织。

      在模拟详情页面上，您可以查看违规次数、检查的资源数量、模拟日期，以及所有配置不合规的资源的列表。

      您还可以点击设置试运行政策，在试运行模式下设置模拟的组织政策。

      如需了解详情，请参阅使用 Policy Simulator 测试组织政策更改。

  8. 在 shell 或 gcloud CLI 控制台中输入生成的 gcloud CLI 命令，以清理测试资源。

后续步骤