使用 Gemini Cloud Assist 測試自訂限制

事前準備

必要的角色

如要取得管理機構政策所需的權限，請要求管理員授予您機構的下列 IAM 角色：

如要進一步瞭解如何授予角色，請參閱「管理專案、資料夾和組織的存取權」。

您或許也能透過自訂角色或其他預先定義的角色，取得必要權限。

您可以將身分與存取權管理條件新增至機構政策管理員角色繫結，藉此委派機構政策的管理權。如要控管主體可管理組織政策的資源，您可以根據特定標記設定角色繫結條件。詳情請參閱「使用限制」。

自訂限制

自訂限制是在 YAML 檔案中建立，其中指定受限的資源、方法、條件和動作。這些限制會因您強制執行機構政策的服務而異。自訂限制的條件是使用一般運算語言 (CEL) 所定義。

設定自訂限制

您可以使用 Gemini Cloud Assist 建立自訂限制，並設定在組織政策中使用。

  1. 前往 Google Cloud 控制台的「Organization policies」(機構政策) 頁面。

    前往組織政策

  2. 在頁面頂端的專案選擇工具中，選取要設定組織政策的專案。

  3. 在「使用 Gemini 建立自訂組織限制」橫幅中，點按「建立限制」。

  4. 在「Cloud Assist」窗格中，傳送提示來描述要產生的自訂限制。例如：

    「將所有資源的開機磁碟大小限制在 250 GB 以下。」 compute.googleapis.com/Disk

  5. 查看回應 (包括限制的產生程式碼和限制運作方式的其他詳細資料)，確認限制是否能達成目標。

  6. 選用：如需修改限制，請傳送提示並附上必要變更。舉例來說，「can you add asia-east1」會指示 Gemini Cloud Assist 在限制條件的相關位置新增 asia-east1 語言代碼。

  7. 選用：您可以使用 Gemini Cloud Assist 定義測試資源，並模擬限制，確認限制是否正常運作。詳情請參閱「使用 Gemini Cloud Assist 測試自訂限制」。

  8. 如要使用新限制建立自訂機構政策，請按一下「Insert to Create Constraint」(插入以建立限制)。系統會顯示「建立自訂限制」視窗，並填入產生的自訂限制。您可以照常測試或建立自訂組織政策。

使用 Gemini Cloud Assist 測試自訂限制

您可以使用 Gemini Cloud Assist 工作流程建立自訂限制，並進行測試，詳情請參閱「設定自訂限制」。建立自訂限制後，Gemini Cloud Assist 可協助建立一組資源來測試該限制，然後模擬自訂限制對這些資源的影響。

  1. 如要建立自訂限制，請使用 Gemini Cloud Assist 工作流程設定自訂限制。

  2. 自訂限制條件產生後，請按一下「設定測試資源」。 系統會產生資源設定清單，並標示各項設定是否符合自訂限制。「屬性」欄會說明各資源的專屬屬性。

    系統會為每個符合或不符合規範的資源產生 gcloud CLI 指令清單，您可以使用這些指令建立測試案例中定義的資源。

  3. 在 Shell 或 gcloud CLI 控制台中輸入產生的 gcloud CLI 指令，即可建立測試資源。如需更多資訊和問題排解操作說明，請參閱與測試資源相關的特定 Google Cloud服務說明文件。

  4. 如要產生可刪除資源的 gcloud CLI 指令清單，請點選「產生清除指令」。複製這些指令，以供日後使用。

  5. 資源生成後，至少需要 10 分鐘才會準備就緒，可供模擬。

  6. 如要模擬自訂機構政策對資源的影響，請按一下「開始模擬」。

  7. 查看待處理模擬的詳細資料，然後按一下「確認」。 模擬作業最多可能需要 1 小時才能完成。

    1. 如要查看模擬結果，請前往「模擬記錄」頁面。

      前往「模擬記錄」

    2. 選取模擬作業即可查看詳細資料。如果沒有看到模擬結果，請在頁面頂端的專案挑選器中選取機構。

      在「模擬詳細資料」頁面中，您可以查看違規次數、檢查的資源數量、模擬日期，以及所有設定不符規定的資源清單。

      您也可以按一下「設定模擬測試政策」，在模擬測試模式中設定模擬的機構政策。

      詳情請參閱「使用 Policy Simulator 測試組織政策變更」。

  8. 在 Shell 或 gcloud CLI 控制台中輸入產生的 gcloud CLI 指令，清除測試資源。

後續步驟