Questa pagina è stata tradotta dall'API Cloud Translation.

Gestire le risorse Cloud Storage utilizzando vincoli personalizzati

Questa pagina mostra come utilizzare i vincoli personalizzati del servizio Organization Policy per limitare operazioni specifiche sulle seguenti risorse Google Cloud :

storage.googleapis.com/Bucket

Per saperne di più sulle policy dell'organizzazione, consulta Policy dell'organizzazione personalizzate.

Informazioni sui criteri e sui vincoli dell'organizzazione

Il Google Cloud servizio Policy dell'organizzazione offre un controllo centralizzato e programmatico sulle risorse della tua organizzazione. In qualità di amministratore delle policy dell'organizzazione, puoi definire una policy dell'organizzazione, ovvero un insieme di limitazioni chiamate vincoli che si applicano alle risorseGoogle Cloud e ai discendenti di queste risorse nella gerarchia delle risorseGoogle Cloud . Puoi applicare le policy dell'organizzazione a livello di organizzazione, cartella o progetto.

La policy dell'organizzazione fornisce vincoli gestiti integrati per vari servizi Google Cloud . Tuttavia, se cerchi un controllo più granulare e personalizzabile sui campi specifici limitati nelle policy dell'organizzazione, puoi anche creare vincoli personalizzati e utilizzarli in una policy dell'organizzazione.

Ereditarietà delle policy

Per impostazione predefinita, le policy dell'organizzazione vengono ereditate dai discendenti delle risorse su cui applichi la policy. Ad esempio, se applichi una policy a una cartella, Google Cloud applica la policy a tutti i progetti contenuti nella cartella. Per scoprire di più su questo comportamento e su come modificarlo, consulta Regole di valutazione della gerarchia.

Limitazioni

Non è consigliabile utilizzare le etichette dei bucket nelle condizioni dei vincoli personalizzati. Utilizza invece i tag, che possono essere impostati solo da persone con i ruoli IAM (Identity and Access Management) richiesti e sono controllati in modo più rigoroso rispetto alle etichette.
I vincoli personalizzati appena applicati non si applicano alle risorse esistenti. Le risorse esistenti devono essere aggiornate per applicare il vincolo.

Per trovare le risorse esistenti che dovranno essere aggiornate, puoi applicare una policy dell'organizzazione dry run.
I vincoli personalizzati non possono essere utilizzati per vincolare gli ACL o i criteri IAM su oggetti o bucket.

Prima di iniziare

Sign in to your Google Cloud account. If you're new to Google Cloud, create an account to evaluate how our products perform in real-world scenarios. New customers also get $300 in free credits to run, test, and deploy workloads.

In the Google Cloud console, on the project selector page, select or create a Google Cloud project.

Roles required to select or create a project

Select a project: Selecting a project doesn't require a specific IAM role—you can select any project that you've been granted a role on.
Create a project: To create a project, you need the Project Creator (roles/resourcemanager.projectCreator), which contains the resourcemanager.projects.create permission. Learn how to grant roles.

Go to project selector

Verify that billing is enabled for your Google Cloud project.

Install the Google Cloud CLI.

Se utilizzi un provider di identità (IdP) esterno, devi prima accedere alla gcloud CLI con la tua identità federata.

Per inizializzare gcloud CLI, esegui questo comando:

gcloud init

In the Google Cloud console, on the project selector page, select or create a Google Cloud project.

Roles required to select or create a project

Select a project: Selecting a project doesn't require a specific IAM role—you can select any project that you've been granted a role on.
Create a project: To create a project, you need the Project Creator (roles/resourcemanager.projectCreator), which contains the resourcemanager.projects.create permission. Learn how to grant roles.

Go to project selector

Verify that billing is enabled for your Google Cloud project.

Install the Google Cloud CLI.

Se utilizzi un provider di identità (IdP) esterno, devi prima accedere alla gcloud CLI con la tua identità federata.

Per inizializzare gcloud CLI, esegui questo comando:

gcloud init

Assicurati di conoscere il tuo ID organizzazione.

Ruoli obbligatori

Per ottenere le autorizzazioni necessarie per gestire le policy dell'organizzazione, chiedi all'amministratore di concederti i seguenti ruoli IAM:

Amministratore criteri dell'organizzazione (roles/orgpolicy.policyAdmin) nell'organizzazione
Testa la policy dell'organizzazione di esempio in questa pagina creando un bucket: Amministratore archiviazione (roles/storage.admin) nel progetto

Per ulteriori informazioni sulla concessione dei ruoli, consulta Gestisci l'accesso a progetti, cartelle e organizzazioni.

Questi ruoli predefiniti contengono le autorizzazioni necessarie per gestire le policy dell'organizzazione. Per vedere quali sono esattamente le autorizzazioni richieste, espandi la sezione Autorizzazioni obbligatorie:

Autorizzazioni obbligatorie

Per gestire le policy dell'organizzazione sono necessarie le seguenti autorizzazioni:

orgpolicy.* sull'organizzazione
Prova la policy dell'organizzazione di esempio in questa pagina creando un bucket: storage.buckets.create sul progetto

Potresti anche ottenere queste autorizzazioni con ruoli personalizzati o altri ruoli predefiniti.

Crea un vincolo personalizzato

Un vincolo personalizzato è definito in un file YAML dalle risorse, dai metodi, dalle condizioni e dalle azioni supportate dal servizio a cui stai applicando la policy dell'organizzazione. Le condizioni per i vincoli personalizzati vengono definite utilizzando il Common Expression Language (CEL). Per ulteriori informazioni su come creare condizioni nei vincoli personalizzati utilizzando il CEL, consulta la sezione relativa al CEL di Creazione e gestione di vincoli personalizzati.

Per creare un vincolo personalizzato, crea un file YAML utilizzando il seguente formato:

name: organizations/ORGANIZATION_ID/customConstraints/CONSTRAINT_NAME
resourceTypes:
- RESOURCE_NAME
methodTypes:
- CREATE
- UPDATE
condition: "CONDITION"
actionType: ACTION
displayName: DISPLAY_NAME
description: DESCRIPTION

Sostituisci quanto segue:

ORGANIZATION_ID: l'ID della tua organizzazione, ad esempio 123456789.
CONSTRAINT_NAME: il nome che vuoi assegnare al nuovo vincolo personalizzato. Un vincolo personalizzato deve iniziare con custom. e può includere solo lettere maiuscole, lettere minuscole o numeri. Ad esempio, custom.bucketNamingRequirement. La lunghezza massima di questo campo è di 70 caratteri.
RESOURCE_NAME: il nome completo della risorsaGoogle Cloud contenente l'oggetto e il campo che vuoi limitare. Ad esempio: storage.googleapis.com/Bucket.
CONDITION: una condizione CEL scritta in base a una rappresentazione di una risorsa di servizio supportata. Questo campo ha una lunghezza massima di 1000 caratteri. Per ulteriori informazioni sulle risorse disponibili in base a cui scrivere condizioni, consulta la sezione Risorse supportate. Ad esempio "resource.name.matches('^[a-zA-Z]+$')".
ACTION: l'azione da eseguire se condition è soddisfatta. I valori possibili sono ALLOW e DENY.
DISPLAY_NAME: un nome facile da ricordare per il vincolo. Questo campo ha una lunghezza massima di 200 caratteri.
DESCRIPTION: una descrizione chiara del vincolo da visualizzare come messaggio di errore in caso di violazione della policy. Questo campo ha una lunghezza massima di 2000 caratteri.

Per saperne di più su come creare un vincolo personalizzato, consulta Definizione di vincoli personalizzati.

Configura un vincolo personalizzato

gcloud org-policies set-custom-constraint

gcloud org-policies set-custom-constraint CONSTRAINT_PATH

CONSTRAINT_PATH

/home/user/customconstraint.yaml

gcloud org-policies list-custom-constraints

gcloud org-policies list-custom-constraints --organization=ORGANIZATION_ID

ORGANIZATION_ID

Visualizzazione delle policy dell'organizzazione

Applicare una policy dell'organizzazione personalizzata

Console

Nella console Google Cloud , vai alla pagina Policy dell'organizzazione.
Vai a Policy dell'organizzazione
Nel selettore di progetti, seleziona il progetto per cui vuoi impostare la policy dell'organizzazione.
Nell'elenco della pagina Policy dell'organizzazione, seleziona il vincolo per visualizzare la pagina Dettagli policy relativa al vincolo in questione.
Per configurare la policy dell'organizzazione per questa risorsa, fai clic su Gestisci policy.
Nella pagina Modifica policy, seleziona Esegui override della policy dell'unità organizzativa principale.
Fai clic su Aggiungi una regola.
Nella sezione Applicazione, seleziona se attivare o meno l'applicazione di questa policy dell'organizzazione
(Facoltativo) Per rendere la policy dell'organizzazione condizionale su un tag, fai clic su Aggiungi condizione. Tieni presente che se aggiungi una regola condizionale a una policy dell'organizzazione, devi aggiungere almeno una regola non condizionale, altrimenti la policy non può essere salvata. Per ulteriori informazioni, consulta Impostazione di una policy dell'organizzazione con tag.
Fai clic su Testa modifiche per simulare l'effetto della policy dell'organizzazione. La simulazione delle policy non è disponibile per i vincoli gestiti legacy. Per ulteriori informazioni, consulta Testa le modifiche alla policy dell'organizzazione con Policy Simulator.
Per completare e applicare la policy dell'organizzazione, fai clic su Imposta policy. L'applicazione della policy può richiedere fino a 15 minuti.

gcloud

Per creare una policy dell'organizzazione con regole booleane, crea un file YAML della policy che faccia riferimento al vincolo:

      name: projects/PROJECT_ID/policies/CONSTRAINT_NAME
      spec:
        rules:
        - enforce: true

Sostituisci quanto segue:

PROJECT_ID: il progetto su cui vuoi applicare il vincolo.
CONSTRAINT_NAME: il nome definito per il vincolo personalizzato. Ad esempio: custom.bucketNamingRequirement.

Per applicare la policy dell'organizzazione contenente il vincolo, esegui il seguente comando:

    gcloud org-policies set-policy POLICY_PATH

Sostituisci POLICY_PATH con il percorso completo del file YAML della policy dell'organizzazione. L'applicazione della policy può richiedere fino a 15 minuti.

Testa il criterio dell'organizzazione personalizzato

L'esempio seguente crea un vincolo e una policy personalizzati che richiedono che tutti i bucket appena creati abbiano un nome che contenga solo lettere. Puoi testare il criterio provando a eseguire un'azione che il criterio dovrebbe impedire.

Crea il vincolo

Salva il seguente file come constraint-bucket-names.yaml:

name: organizations/ORGANIZATION_ID/customConstraints/custom.bucketNamingRequirement
resource_types: storage.googleapis.com/Bucket
method_types:
- CREATE
condition: "resource.name.matches('^[a-zA-Z]+$')"
action_type: ALLOW
display_name: Bucket names must match the specified regular expression
description: Newly created buckets must have a name that matches the specified regular expression. Only letters are allowed in the bucket name.

Sostituisci ORGANIZATION_ID con l'ID organizzazione.

Applica il vincolo:

gcloud org-policies set-custom-constraint ~/constraint-bucket-names.yaml

Verifica che il vincolo esista:

gcloud org-policies list-custom-constraints --organization=ORGANIZATION_ID

L'output è simile al seguente:

CUSTOM_CONSTRAINT                 ACTION_TYPE    METHOD_TYPES    RESOURCE_TYPES                  DISPLAY_NAME
custom.bucketNamingRequirement    ALLOW          CREATE          storage.googleapis.com/Bucket   Bucket names must match the specified regular expression
...

Crea la policy

Salva il seguente file come policy-bucket-names.yaml:
```
name: projects/PROJECT_ID/policies/custom.bucketNamingRequirement
spec:
  rules:
  - enforce: true
```
Sostituisci PROJECT_ID con l'ID progetto.

In questo esempio, applichi questo vincolo a livello di progetto, ma puoi impostarlo anche a livello di organizzazione o cartella.

Applica la norma:

gcloud org-policies set-policy ~/policy-bucket-names.yaml

Verifica che il criterio esista:

gcloud org-policies list --project=PROJECT_ID

L'output è simile al seguente:

CONSTRAINT                        LIST_POLICY    BOOLEAN_POLICY    ETAG
custom.bucketNamingRequirement    -              SET               CIqktscGELiZn6cC-

Dopo aver applicato il criterio, attendi circa due minuti prima che Google Cloud inizi ad applicarlo.

Testare la policy

Prova a creare un bucket con un nome che contenga un carattere diverso da una lettera:

gcloud storage buckets create gs://example-bucket --location=BUCKET_LOCATION

Sostituisci BUCKET_LOCATION con la posizione del bucket. Ad esempio, US.

La richiesta non va a buon fine e viene visualizzato un errore simile al seguente:

ERROR: (gcloud.storage.buckets.create) HTTPError 412: orgpolicy:projects/_/buckets/example-bucket violates customConstraints/custom.bucketNamingRequirement. Details: Newly created buckets must have a name that matches the specified regular expression. Only letters are allowed in the bucket name.

Esempi di norme personalizzate dell'organizzazione per casi d'uso comuni

La tabella seguente fornisce esempi di sintassi per alcuni vincoli personalizzati comuni. Per un elenco dei vincoli predefiniti che puoi utilizzare con Cloud Storage, consulta Vincoli dei criteri dell'organizzazione per Cloud Storage.

Descrizione	Sintassi del vincolo
Per i bucket deve essere abilitato il controllo delle versioni degli oggetti	name: organizations/`ORGANIZATION_ID`/customConstraints/custom.enforceBucketVersioning method_types: - CREATE - UPDATE resource_types: storage.googleapis.com/Bucket condition: "resource.versioning.enabled == true" action_type: ALLOW display_name: Buckets must have Object Versioning enabled description: Newly created buckets and newly updated buckets must have Object Versioning enabled.
I bucket devono essere denominati utilizzando un'espressione regolare specifica	name: organizations/`ORGANIZATION_ID`/customConstraints/custom.bucketNamingRequirement method_types: - CREATE resource_types: storage.googleapis.com/Bucket condition: "resource.name.matches('^[a-zA-Z]+$')" action_type: ALLOW display_name: Bucket names must match the specified regular expression description: Newly created buckets must have a name that matches the specified regular expression. Only letters are allowed in the bucket name.
I bucket non possono avere Bucket Lock abilitato	name: organizations/`ORGANIZATION_ID`/customConstraints/custom.prohibitBucketLock method_types: - CREATE - UPDATE resource_types: storage.googleapis.com/Bucket condition: "resource.retentionPolicy.isLocked == true" action_type: DENY display_name: Prohibit the use of Bucket Lock description: Newly created buckets and newly updated buckets cannot have Bucket Lock enabled.
I bucket non possono avere abilitato il blocco della conservazione degli oggetti	name: organizations/`ORGANIZATION_ID`/customConstraints/custom.prohibitObjectRetentionLock method_types: - CREATE - UPDATE resource_types: storage.googleapis.com/Bucket condition: "resource.objectRetention.mode == 'Enabled'" action_type: DENY display_name: Objects cannot have retention configurations description: Newly created buckets and newly updated buckets cannot have Object Retention Lock enabled.
I bucket che si trovano nelle multiregioni `US` o `EU` devono avere un periodo di conservazione di 86.400 secondi	name: organizations/`ORGANIZATION_ID`/customConstraints/custom.locationRetentionPolicy method_types: - CREATE - UPDATE resource_types: storage.googleapis.com/Bucket condition: "(resource.location.startsWith('US') \|\| resource.location.startsWith('EU')) && resource.retentionPolicy.retentionPeriod != 86400" action_type: DENY display_name: All buckets in US and EU must have a retention policy of 86,400 seconds description: Newly created buckets and newly updated buckets located in US and EU regions must have a retention policy of 86,400 seconds.
I bucket devono avere etichette¹	name: organizations/`ORGANIZATION_ID`/customConstraints/custom.labels method_types: - CREATE - UPDATE resource_types: storage.googleapis.com/Bucket condition: "'my_annotations.data.source' in resource.labels && resource.labels['my_annotations.data.source'] in ['SOURCE_IMAGES','SOURCE_TEXT','SOURCE_VIDEOS']" action_type: ALLOW display_name: Buckets must have a label classifying the contents of the bucket description: Newly created buckets and newly updated buckets must have the label my_annotations.data.source with the SOURCE_IMAGES, SOURCE_TEXT, or SOURCE_VIDEOS key.
I bucket devono trovarsi in una doppia regione	name: organizations/`ORGANIZATION_ID`/customConstraints/custom.dualRegionUS method_types: - CREATE - UPDATE resource_types: storage.googleapis.com/Bucket condition: "'US-EAST1' in resource.customPlacementConfig.dataLocations && 'US-EAST4' in resource.customPlacementConfig.dataLocations" action_type: ALLOW display_name: Buckets must be located in a dual-region description: Newly created buckets and newly updated buckets must be located in a dual-region composed of the us-east1 and us-east4 regions.
I bucket non possono utilizzare le classi di archiviazione legacy	name: organizations/`ORGANIZATION_ID`/customConstraints/custom.disableLegacyStorageClass method_types: - CREATE - UPDATE resource_types: storage.googleapis.com/Bucket condition: "resource.storageClass in ['STANDARD', 'NEARLINE', 'COLDLINE', 'ARCHIVE']" action_type: ALLOW display_name: Buckets cannot use legacy storage classes description: Newly created buckets and newly updated buckets must use Standard storage, Nearline storage, Coldline storage, or Archive storage.
Il filtro IP del bucket deve limitare le richieste provenienti da tutta la rete internet pubblica	name: organizations/`ORGANIZATION_ID`/customConstraints/custom.IpFilter method_types: - CREATE resource_types: storage.googleapis.com/Bucket condition: "!has(resource.ipFilter) \|\| (resource.ipFilter.mode == 'Disabled' \|\| resource.ipFilter.publicNetworkSource.allowedIpCidrRanges.size() > 0)" action_type: DENY display_name: Bucket IP filter rules must restrict all the public network description: Newly created buckets must have IP filtering and IP filtering rules must restrict all public network resources.
¹ La specifica di una chiave di etichetta del bucket non esistente restituisce un errore `BAD_CONDITION`. Questo errore impedisce l'esecuzione dei metodi `CREATE` e `UPDATE` sul bucket. Per evitare questo errore, verifica sempre che la chiave dell'etichetta esista utilizzando `"my_annotations.data.source" in resource.labels`.

Policy dell'organizzazione condizionali

Puoi rendere condizionale un criterio dell'organizzazione personalizzato utilizzando i tag. Per ulteriori informazioni, consulta Impostazione di una policy dell'organizzazione con tag.

Risorse supportate di Cloud Storage

La tabella seguente elenca le risorse Cloud Storage a cui puoi fare riferimento nei vincoli personalizzati.

Risorsa	Campo
storage.googleapis.com/Bucket	`resource.billing.requesterPays`
	`resource.cors.maxAgeSeconds`
	`resource.cors.method`
	`resource.cors.origin`
	`resource.cors.responseHeader`
	`resource.customPlacementConfig.dataLocations`
	`resource.defaultEventBasedHold`
	`resource.encryption.defaultKmsKeyName`
	`resource.iamConfiguration.publicAccessPrevention`
	`resource.iamConfiguration.uniformBucketLevelAccess.enabled`
	`resource.ipFilter.mode`
	`resource.ipFilter.publicNetworkSource.allowedIpCidrRanges`
	`resource.ipFilter.vpcNetworkSources.allowedIpCidrRanges`
	`resource.ipFilter.vpcNetworkSources.network`
	`resource.labels`
	`resource.lifecycle.rule.action.storageClass`
	`resource.lifecycle.rule.action.type`
	`resource.lifecycle.rule.condition.age`
	`resource.lifecycle.rule.condition.createdBefore`
	`resource.lifecycle.rule.condition.customTimeBefore`
	`resource.lifecycle.rule.condition.daysSinceCustomTime`
	`resource.lifecycle.rule.condition.daysSinceNoncurrentTime`
	`resource.lifecycle.rule.condition.isLive`
	`resource.lifecycle.rule.condition.matchesPrefix`
	`resource.lifecycle.rule.condition.matchesStorageClass`
	`resource.lifecycle.rule.condition.matchesSuffix`
	`resource.lifecycle.rule.condition.noncurrentTimeBefore`
	`resource.lifecycle.rule.condition.numNewerVersions`
	`resource.location`
	`resource.locationType`
	`resource.logging.logBucket`
	`resource.logging.logObjectPrefix`
	`resource.name`
	`resource.objectRetention.mode`
	`resource.retentionPolicy.isLocked`
	`resource.retentionPolicy.retentionPeriod`
	`resource.rpo`
	`resource.softDeletePolicy.retentionDurationSeconds`
	`resource.storageClass`
	`resource.versioning.enabled`
	`resource.website.mainPageSuffix`
	`resource.website.notFoundPage`

Tieni presente quanto segue:

Devi utilizzare le lettere maiuscole per specificare i valori dei seguenti campi:
- resource.customPlacementConfig.dataLocations
- resource.lifecycle.rule.action.storageClass
- resource.location
- resource.storageClass
Il campo resource.retentionPolicy.isLocked può essere utilizzato solo per vietare l'utilizzo del blocco dei bucket, non per applicarlo.

Passaggi successivi

Scopri di più sul servizio Policy dell'organizzazione.
Scopri di più su come creare e gestire le policy dell'organizzazione.
Consulta l'elenco completo dei vincoli delle policy dell'organizzazione gestiti.

Gestire le risorse Cloud Storage utilizzando vincoli personalizzati Mantieni tutto organizzato con le raccolte Salva e classifica i contenuti in base alle tue preferenze.

Informazioni sui criteri e sui vincoli dell'organizzazione

Ereditarietà delle policy

Limitazioni

Prima di iniziare

Ruoli obbligatori

Autorizzazioni obbligatorie

Crea un vincolo personalizzato

Configura un vincolo personalizzato

Applicare una policy dell'organizzazione personalizzata

Console

gcloud

Testa il criterio dell'organizzazione personalizzato

Crea il vincolo

Crea la policy

Testare la policy

Esempi di norme personalizzate dell'organizzazione per casi d'uso comuni

Policy dell'organizzazione condizionali

Risorse supportate di Cloud Storage

Passaggi successivi

Gestire le risorse Cloud Storage utilizzando vincoli personalizzati