Questa pagina spiega come utilizzare una policy dell'organizzazione con il tuo progetto Cloud SQL. Per iniziare a creare policy dell'organizzazione, consulta Aggiungere policy dell'organizzazione.
Panoramica
Le policy dell'organizzazione consentono agli amministratori dell'organizzazione di impostare limitazioni su come gli utenti possono configurare le istanze nell'ambito dell'organizzazione. Le policy dell'organizzazione utilizzano regole, chiamate vincoli, che l'amministratore dell'organizzazione applica a un progetto, una cartella o un'organizzazione. I vincoli applicano la policy a tutte le istanze. Se, ad esempio, provi a creare un'istanza in un'entità che ha una policy dell'organizzazione, il vincolo esegue un controllo per assicurarsi che la configurazione dell'istanza soddisfi i requisiti del vincolo. Se il controllo non riesce, Cloud SQL non crea l'istanza.
Quando aggiungi progetti a un'organizzazione o una cartella che utilizza una policy dell'organizzazione, i progetti ereditano i vincoli di questa policy.
Per saperne di più sulle policy dell'organizzazione, consulta Servizio Policy dell'organizzazione, Vincoli e Valutazione della gerarchia.
I tipi di policy dell'organizzazione specifici per Cloud SQL sono i seguenti:
Policy dell'organizzazione predefinite
Puoi utilizzare i vincoli predefiniti per controllare le impostazioni dell'IP pubblico e le impostazioni della chiave di crittografia gestita dal cliente (CMEK) delle istanze Cloud SQL. Per un controllo più granulare e personalizzabile su altre impostazioni supportate, puoi utilizzare vincoli personalizzati. Per saperne di più, consulta Policy dell'organizzazione personalizzate.
Policy dell'organizzazione per la connessione
Le policy dell'organizzazione per la connessione forniscono un controllo centralizzato delle impostazioni dell'IP pubblico per Cloud SQL, al fine di ridurre la superficie di attacco per la sicurezza delle istanze Cloud SQL da internet. Un amministratore delle policy dell'organizzazione può utilizzare una policy di connessione per limitare le configurazioni dell'IP pubblico di Cloud SQL a livello di progetto, cartella o organizzazione.
Vincoli delle policy dell'organizzazione per la connessione
Per la policy dell'organizzazione per la connessione, esistono due tipi di vincoli predefiniti che applicano l'accesso alle istanze Cloud SQL. Esistono anche policy dell'organizzazione personalizzate che possono essere utilizzate per applicare le policy dell'organizzazione per la connessione. Per saperne di più, consulta gli esempi di ipConfiguration in Esempi di vincoli personalizzati.
| Vincolo | Descrizione | Comportamento predefinito |
|---|---|---|
| Limita l'accesso IP pubblico nelle istanze Cloud SQL | Questo vincolo booleano limita la configurazione dell'indirizzo IP pubblico
nelle istanze di Cloud SQL in cui tale vincolo ha valore
True. Questo vincolo non è retroattivo. Le istanze Cloud SQL
con accesso IP pubblico esistente continuano a funzionare anche dopo l'applicazione di questo
vincolo.
Per impostazione predefinita, l'accesso IP pubblico alle istanze Cloud SQL è consentito. constraints/sql.restrictPublicIp
|
Consentito |
| Limita reti autorizzate nelle istanze di Cloud SQL | Se impostato su True, questo vincolo booleano limita
l'aggiunta di reti autorizzate per l'accesso dei database senza proxy alle
istanze di Cloud SQL. Questo vincolo non è retroattivo.
Le istanze Cloud SQL con reti autorizzate esistenti continuano a funzionare
anche dopo l'applicazione di questo vincolo. Per impostazione predefinita, puoi aggiungere reti autorizzate alle istanze Cloud SQL. constraints/sql.restrictAuthorizedNetworks |
Consentito |
Limitazioni per le policy dell'organizzazione per la connessione
Quando imposti la policy dell'organizzazione per ogni progetto, devi determinare se una delle seguenti condizioni si applica al tuo progetto:
- Conflitti IP pubblici delle repliche di lettura
- Incompatibilità con l'utilizzo di gcloud CLI sql connect
- Google Cloud Accesso ai servizi ospitati
- Indirizzi IP privati non RFC 1918
Conflitti di indirizzi IP pubblici delle repliche di lettura
Le repliche di lettura Cloud SQL si connettono all'istanza principale tramite la connessione al database senza proxy. Utilizza l'impostazione Reti autorizzate dell'istanza principale per configurare in modo esplicito o implicito gli indirizzi IP pubblici delle repliche di lettura.
Se sia l'istanza principale sia quella di replica si trovano nella stessa regione e abilitano l'IP privato, non si verifica alcun conflitto con i vincoli delle policy dell'organizzazione per la connessione.
Incompatibilità con l'utilizzo di gcloud sql connect
Il comando gcloud sql connect utilizza un indirizzo IP pubblico per connettersi direttamente alle istanze Cloud SQL. Pertanto, non è compatibile con il vincolo sql.restrictPublicIp. In genere, questo è un problema per le istanze che utilizzano l'IP privato.
Inoltre, il comando gcloud sql connect non utilizza il proxy, il che lo rende incompatibile con il vincolo sql.restrictAuthorizedNetworks.
Utilizza invece la versione beta del comando:
gcloud beta auth login
gcloud beta sql connect [INSTANCE_ID]
Questa versione utilizza il proxy di autenticazione Cloud SQL. Per
informazioni di riferimento, consulta
gcloud beta sql connect.
La prima volta che esegui questo comando, ti viene chiesto di installare il componente del proxy di autenticazione Cloud SQL di gcloud CLI. Per farlo, devi disporre dell'autorizzazione di scrittura nella directory di installazione dell'SDK gcloud CLI sulla macchina client.
Indirizzi IP privati non RFC 1918
Le connessioni a un'istanza Cloud SQL che utilizzano un indirizzo IP privato vengono autorizzate automaticamente per gli intervalli di indirizzi RFC 1918. In questo modo, tutti i client privati possono accedere al database senza passare attraverso il proxy. Devi configurare gli intervalli di indirizzi non RFC 1918 come reti autorizzate.
Per utilizzare gli intervalli IP privati non RFC 1918 non configurati nelle reti autorizzate, puoi eseguire una o entrambe le seguenti azioni:
- Non applicare
sql.restrictAuthorizedNetworks. Se le reti autorizzate applicano anchesql.restrictPublicIp, non puoi configurarle nella console. Utilizza invece l'API Cloud SQL o il gcloud CLI. - Utilizza connessioni con proxy per le istanze IP private.
Policy dell'organizzazione per le chiavi di crittografia gestite dal cliente (CMEK)
Cloud SQL supporta due vincoli delle policy dell'organizzazione che contribuiscono a garantire la protezione CMEK in un'organizzazione: constraints/gcp.restrictNonCmekServices e constraints/gcp.restrictCmekCryptoKeyProjects.
Il vincolo constraints/gcp.restrictNonCmekServices richiede la protezione CMEK per sqladmin.googleapis.com. Quando aggiungi questo vincolo e sqladmin.googleapis.com all'elenco di servizi della policy Deny, Cloud SQL si rifiuta di creare nuove istanze a meno che non siano abilitate con CMEK.
Il vincolo constraints/gcp.restrictCmekCryptoKeyProjects limita le CryptoKey Cloud KMS da utilizzare per la protezione CMEK nelle istanze Cloud SQL per SQL Server. Con questo vincolo, quando Cloud SQL crea una nuova istanza con CMEK, la CryptoKey deve provenire da un progetto, una cartella o un'organizzazione consentiti.
Questi vincoli vengono applicati solo alle istanze Cloud SQL per SQL Server create di recente.
Per una panoramica più completa, consulta Policy dell'organizzazione per le chiavi CMEK. Per informazioni sui vincoli delle policy dell'organizzazione per le chiavi CMEK, consulta Vincoli delle policy dell'organizzazione.
Policy dell'organizzazione personalizzate
Per un controllo granulare e personalizzabile delle impostazioni, puoi creare vincoli personalizzati e utilizzarli in una policy dell'organizzazione personalizzata. Puoi utilizzare le policy dell'organizzazione personalizzate per migliorare la sicurezza, la conformità e la governance.
Per scoprire come creare policy dell'organizzazione personalizzate, consulta Aggiungere policy dell'organizzazione personalizzate. Puoi anche visualizzare un elenco dei campi supportati per i vincoli personalizzati.
Regole di applicazione delle policy dell'organizzazione
Cloud SQL applica la policy dell'organizzazione durante le seguenti operazioni:
- Creazione dell'istanza
- Creazione della replica
- Riavvio dell'istanza
- Migrazione dell'istanza
- Clonazione dell'istanza
Come tutti i vincoli delle policy dell'organizzazione, le modifiche alle policy non vengono applicate retroattivamente alle istanze esistenti.
- Una nuova policy non ha alcun effetto sulle istanze esistenti.
- Una configurazione delle istanze esistente rimane valida, a meno che un utente non modifichi la configurazione delle istanze da uno stato di conformità a uno di non conformità utilizzando la console, gcloud CLI o RPC.
- Un aggiornamento di manutenzione pianificato non causa l'applicazione di una policy, perché la manutenzione non modifica la configurazione delle istanze.
Passaggi successivi
- Configurazione delle policy dell'organizzazione.
- Scopri come funziona l'IP privato con Cloud SQL.
- Scopri come configurare l'IP privato per Cloud SQL.
- Scopri di più sul servizio Policy dell'organizzazione.
- Scopri di più sui vincoli delle policy dell'organizzazione.