Limita l'utilizzo delle risorse per i carichi di lavoro

Questa pagina spiega come attivare o disattivare le limitazioni per le risorse non conformi nelle cartelle Assured Workloads. Per impostazione predefinita, di controllo determina quali prodotti sono supportati, pertanto determinare quali risorse possono essere utilizzate. Questa funzionalità viene applicata Vincolo dei criteri dell'organizzazione gcp.restrictServiceUsage che viene automaticamente applicato alla cartella al momento della creazione.

Prima di iniziare

Ruoli IAM obbligatori

Per modificare le limitazioni di utilizzo delle risorse, all'utente che effettua la chiamata devono essere concesse le autorizzazioni Identity and Access Management (IAM) utilizzando un ruolo predefinito che include un insieme più ampio di autorizzazioni o un ruolo personalizzato limitato alle autorizzazioni minime necessarie.

Sono necessarie le seguenti autorizzazioni nella destinazione carico di lavoro:

• assuredworkloads.workload.update
• orgpolicy.policy.set

Queste autorizzazioni sono incluse nei seguenti due ruoli:

• Amministratore Assured Workloads (roles/assuredworkloads.admin)
• Editor Assured Workloads (roles/assuredworkloads.editor)

Per ulteriori informazioni sui ruoli per Assured Workloads, consulta la sezione Ruoli IAM.

Attivare le restrizioni per l'utilizzo delle risorse

Per abilitare la limitazione dell'utilizzo delle risorse per un carico di lavoro, esegui questo comando. Questo comando applica limitazioni sulla cartella Assured Workloads in in base ai servizi supportati dal pacchetto di controllo:

curl  -d '{ "restrictionType": "ALLOW_COMPLIANT_RESOURCES" }' \
      -H "Content-Type: application/json" \
      -H "Authorization: Bearer TOKEN"   -X POST \
      "SERVICE_ENDPOINT/v1/organizations/ORGANIZATION_ID/locations/WORKLOAD_LOCATION/workloads/WORKLOAD_ID:restrictAllowedServices"

Sostituisci i seguenti valori segnaposto con i tuoi valori:

• TOKEN: il token di autenticazione per la richiesta, ad esempio: ya29.a0AfB_byDnQW7A2Vr5...tanw0427

  Se hai installato Google Cloud SDK nel tuo ambiente e con l'autenticazione, puoi utilizzare il comando gcloud auth print-access-token: -H "Authorization: Bearer $(gcloud auth print-access-token)" -X POST \

• SERVICE_ENDPOINT: l'azione desiderata endpoint di servizio, Ad esempio: https://us-central1-assuredworkloads.googleapis.com

• ORGANIZATION_ID: l'identificatore univoco dell'organizzazione Google Cloud, ad esempio: 12321311

• WORKLOAD_LOCATION: la posizione del carico di lavoro, ad esempio: us-central1

• WORKLOAD_ID: l'identificatore univoco del carico di lavoro, ad esempio: 00-c25febb1-f3c1-4f19-8965-a25

Dopo aver sostituito i valori segnaposto, la richiesta dovrebbe essere simile alla nell'esempio seguente:

curl  -d '{ "restrictionType": "ALLOW_COMPLIANT_RESOURCES" }' \
      -H "Content-Type: application/json" \
      -H "Authorization: Bearer ya29.a0AfB_byDnQW7A2Vr5...tanw0427"   -X POST \
      "https://us-central1-assuredworkloads.googleapis.com/v1/organizations/12321311/locations/us-central1/workloads/00-c25febb1-f3c1-4f19-8965-a25:restrictAllowedServices"

In caso di esito positivo, la risposta sarà vuota.

Disattivare la limitazione dell'utilizzo delle risorse

Per disabilitare la limitazione di utilizzo delle risorse per un carico di lavoro, esegui questo comando. Questo comando rimuove in modo efficace tutte le restrizioni di servizi e risorse nella Cartella Assured Workloads:

curl  -d '{ "restrictionType": "ALLOW_ALL_GCP_RESOURCES" }' \
      -H "Content-Type: application/json" \
      -H "Authorization: Bearer TOKEN"   -X POST \
      "SERVICE_ENDPOINT/v1/organizations/ORGANIZATION_ID/locations/WORKLOAD_LOCATION/workloads/WORKLOAD_ID:restrictAllowedServices"

Sostituisci i seguenti valori segnaposto con i tuoi valori:

• TOKEN: il token di autenticazione per la richiesta, ad esempio: ya29.a0AfB_byDnQW7A2Vr5...tanw0427

  Se hai installato Google Cloud SDK nel tuo ambiente e con l'autenticazione, puoi utilizzare il comando gcloud auth print-access-token: -H "Authorization: Bearer $(gcloud auth print-access-token)" -X POST \

• SERVICE_ENDPOINT: l'endpoint del servizio desiderato, ad esempio: https://us-central1-assuredworkloads.googleapis.com

• ORGANIZATION_ID: l'identificatore univoco di Google Cloud organizzazione, ad esempio: 12321311

• WORKLOAD_LOCATION: la posizione del carico di lavoro, ad esempio: us-central1

• WORKLOAD_ID: l'identificatore univoco del carico di lavoro, ad esempio: 00-c25febb1-f3c1-4f19-8965-a25

Dopo aver sostituito i valori segnaposto, la richiesta dovrebbe essere simile alla nell'esempio seguente:

curl  -d '{ "restrictionType": "ALLOW_ALL_GCP_RESOURCES" }' \
      -H "Content-Type: application/json" \
      -H "Authorization: Bearer ya29.a0AfB_byDnQW7A2Vr5...tanw0427"   -X POST \
      "https://us-central1-assuredworkloads.googleapis.com/v1/organizations/12321311/locations/us-central1/workloads/00-c25febb1-f3c1-4f19-8965-a25:restrictAllowedServices"

In caso di esito positivo, la risposta sarà vuota.

Prodotti supportati e non supportati

Le tabelle di questa sezione includono prodotti supportati e non supportati per pacchetti di controlli. Se abiliti l'utilizzo predefinito delle risorse limitazioni, sarà possibile utilizzare solo i prodotti supportati. Se disattivi all'uso delle risorse, è possibile utilizzare prodotti supportati e non in uso.

FedRAMP Moderate

FedRAMP High

Criminal Justice Information Services (CJIS)

Impact Level 4 (IL4)

Regioni e assistenza negli Stati Uniti

Endpoint di servizio

Questa sezione elenca gli endpoint API che non vengono bloccati dopo l'abilitazione limitazione all'utilizzo delle risorse.

Passaggi successivi

• Consulta l'elenco dei servizi che non supportano le limitazioni di utilizzo delle risorse.
• Scopri quali prodotti sono supportati per ogni pacchetto di controlli.