Questa pagina descrive come creare, configurare e gestire vincoli personalizzati su Cloud SQL di Compute Engine. Per una panoramica dei criteri dell'organizzazione personalizzati, vedi Criteri dell'organizzazione personalizzati.
Prima di iniziare
- Accedi al tuo account Google Cloud. Se non conosci Google Cloud, crea un account per valutare le prestazioni dei nostri prodotti in scenari reali. I nuovi clienti ricevono anche 300 $di crediti gratuiti per l'esecuzione, il test e il deployment dei carichi di lavoro.
-
In the Google Cloud console, on the project selector page, select or create a Google Cloud project.
-
Assicurati che la fatturazione sia attivata per il tuo progetto Google Cloud.
- Install the Google Cloud CLI.
-
To initialize the gcloud CLI, run the following command:
gcloud init
-
In the Google Cloud console, on the project selector page, select or create a Google Cloud project.
-
Assicurati che la fatturazione sia attivata per il tuo progetto Google Cloud.
- Install the Google Cloud CLI.
-
To initialize the gcloud CLI, run the following command:
gcloud init
- Aggiungere il ruolo Amministratore criteri organizzazione
(
roles/orgpolicy.policyAdmin
) al tuo account utente o di servizio dal IAM e Console di amministrazione. - Vedi le limitazioni prima di eseguire questa procedura.
Campi supportati per i vincoli personalizzati
Puoi impostare vincoli personalizzati nei seguenti campi:
Campo | Esempio di caso d'uso |
SqlDatabaseVersion | Forza l'uso di versioni specifiche del database |
region [regione] | Limita la creazione di istanze a regioni specifiche |
availabilityType | Applica alta disponibilità |
ipConfiguration > pscConfig > allowedConsumerProjects | Limita la lista consentita dei progetti consumer in PSC a progetti specifici |
ipConfiguration > sslMode | Applica la modalità SSL a ENCRYPTED_ONLY o TRUSTED_CLIENT_CERTIFICATE_REQUIRED . Non puoi scegliere la modalità SSL durante la creazione di un'istanza Cloud SQL nella console Google Cloud. Quindi, se crei questo criterio dell'organizzazione personalizzato, devi creare un'istanza Cloud SQL utilizzando gcloud CLI, API o Terraform.
|
dataDiskType | Imponi l'uso di SSD o HDD |
backupConfiguration > posizione | Limita le località di backup automatiche a località specifiche |
backupConfiguration > pointInTimeRecoveryEnabled | Applica tutte le istanze per abilitare PITR |
backupConfiguration > transactionLogRetentionDays | Obbliga tutte le istanze a utilizzare un periodo di conservazione specifico per la conservazione dei log delle transazioni |
backupConfiguration > backupConservazioneSettings > retentionUnit | Applica i giorni di conservazione su tutti i backup |
passwordValidationPolicy > minLength | Applica i criteri relativi alle password per una lunghezza minima |
passwordValidationPolicy > complessità | Applica i criteri relativi alle password per una maggiore complessità |
passwordValidationPolicy > reuseInterval | Applica i criteri relativi alle password per intervalli di riutilizzo specifici |
passwordValidationPolicy > disallowUsernameSubstring | Applica i criteri relativi alle password per non consentire l'utilizzo del nome utente come password |
Versione | Forza l'uso della versione Enterprise Plus per tutte le istanze |
connectorEnforcement | Richiedi tutte le connessioni per utilizzare i connettori Cloud SQL |
dataCacheConfig | Richiedi a tutte le istanze di utilizzare la cache dei dati |
Crea e configura un vincolo personalizzato
Un vincolo personalizzato viene definito in un file YAML utilizzando le risorse, i metodi le condizioni e le azioni supportate dal servizio per applicare il criterio dell'organizzazione. Le condizioni per i vincoli personalizzati definiti utilizzando CEL (Common Expression Language). Per ulteriori informazioni su come creare nei vincoli personalizzati utilizzando CEL, vedi Common Expression Language.
Console
Nella console Google Cloud, vai alla pagina Criteri dell'organizzazione.
Seleziona il selettore di progetti nella parte superiore della pagina.
Dal selettore dei progetti, seleziona la risorsa per cui vuoi per impostare il criterio dell'organizzazione.
Fai clic su
Vincolo personalizzato.Nella casella Nome visualizzato, inserisci un nome per di blocco. Questo campo ha una lunghezza massima di 200 caratteri.
Nella casella ID vincolo, inserisci il nome per il nuovo un vincolo personalizzato. Un vincolo personalizzato deve iniziare con
custom.
e può includere solo lettere maiuscole, lettere minuscole o numeri, per ad esempiocustom.requireCloudSqlPasswordMinLength
. La lunghezza massima di questo campo è di 70 caratteri, senza contare il prefisso, ad esempio,organizations/123456789/customConstraints/custom.
.Nella casella Descrizione, inserisci una descrizione semplice per il del vincolo che viene visualizzato come messaggio di errore quando il criterio viene violato. Questo campo ha una lunghezza massima di 2000 caratteri.
Nella casella Tipo di risorsa, seleziona il nome di Google Cloud Risorsa REST contenente l'oggetto e il campo da limitare, per ad esempio
sqladmin.googleapis.com/Instance
. È consentito un massimo di 20 e vincoli personalizzati per tipo di risorsa. Se provi a creare una configurazione per un tipo di risorsa che ha già 20 vincoli personalizzati, l'operazione non riesce.In Metodo di applicazione, scegli se applicare il vincolo su un metodo REST
CREATE
o entrambi i metodiCREATE
eUPDATE
.Modifica la condizione e segui questi passaggi:
Nel riquadro Aggiungi condizione, crea una condizione CEL che faccia riferimento a una di risorse di servizio supportate,
resource.settings.passwordValidationPolicy.minLength > 10
. Questo campo ha un limite massimo di 1000 caratteri. Per maggiori dettagli sull'utilizzo di CEL, consulta Common Expression Language. Per maggiori informazioni informazioni sulle risorse di servizio che puoi utilizzare nel tuo per i vincoli, consulta Servizi supportati da vincoli personalizzati.Fai clic su Salva.
In Azione, scegli se consentire o negare il metodo valutato se la condizione precedente è soddisfatta.
Nega blocca le operazioni per creare o aggiornare la risorsa se la condizione è true.
Consenti consente alle operazioni di creare o aggiornare risorsa se la condizione restituisce true. Ogni evento in altri casi, ad eccezione di quelli esplicitamente elencati nella condizione, è bloccato.
Fai clic su Crea vincolo.
Dopo aver inserito un valore in ciascun campo, il valore YAML equivalente la configurazione del vincolo personalizzato viene visualizzata a destra.
gcloud
Per creare un file YAML per un vincolo personalizzato, utilizza il formato seguente:
name: organizations/ORGANIZATION_ID/customConstraints/CONSTRAINT_NAME
resourceTypes:
- container.googleapis.com/RESOURCE_NAME
methodTypes:
- CREATE
- UPDATE
condition: "CONDITION"
actionType: ACTION
displayName: DISPLAY_NAME
description: DESCRIPTION
Sostituisci quanto segue:
ORGANIZATION_ID
: l'ID della tua organizzazione, ad esempio123456789
.CONSTRAINT_NAME
: il nome che vuoi per il tuo nuovo un vincolo personalizzato. Un vincolo personalizzato deve iniziare concustom.
e può includere solo lettere maiuscole, lettere minuscole o numeri, per ad esempio custom.enableGkeAutopilot. La lunghezza massima di questo campo è 70 senza contare il prefisso, ad esempioorganizations/123456789/customConstraints/custom
.RESOURCE_NAME
: il nome (non l'URI) dell'URI Risorsa REST dell'API GKE contenente l'oggetto e il campo vuoi limitare. Ad esempio,Cluster
.CONDITION
: una condizione CEL scritta in base a di una risorsa di servizio supportata. Questo ha una lunghezza massima di 1000 caratteri.ACTION
: l'azione da eseguire secondition
è sono soddisfatte determinate condizioni. Può essereALLOW
oDENY
.Nega blocca le operazioni per creare o aggiornare la risorsa se la condizione è true.
Consenti consente alle operazioni di creare o aggiornare risorsa se la condizione restituisce true. Ogni evento in altri casi, ad eccezione di quelli esplicitamente elencati nella condizione, è bloccato.
DISPLAY_NAME
: un nome per di blocco. Questo campo ha una lunghezza massima di 200 caratteri.DESCRIPTION
: una descrizione del del vincolo che viene visualizzato come messaggio di errore quando il criterio viene violato. Questo ha una lunghezza massima di 2000 caratteri.
gcloud org-policies set-custom-constraint
:
gcloud org-policies set-custom-constraint CONSTRAINT_PATHSostituisci
CONSTRAINT_PATH
con il percorso completo del tuo
personalizzato. Ad esempio, /home/user/customconstraint.yaml
.
Al termine, troverai i vincoli personalizzati come criteri dell'organizzazione disponibili
nel tuo elenco di criteri dell'organizzazione
di Google Cloud.
Per verificare che il vincolo personalizzato esista, utilizza il metodo
Comando gcloud org-policies list-custom-constraints
:
gcloud org-policies list-custom-constraints --organization=ORGANIZATION_IDSostituisci
ORGANIZATION_ID
con l'ID della risorsa dell'organizzazione.
Per ulteriori informazioni, vedi
Visualizzazione dei criteri dell'organizzazione.Applica un criterio dell'organizzazione personalizzato
Una volta configurato, un vincolo personalizzato funziona in modo identico vincoli booleani. Google Cloud controlla prima i vincoli personalizzati per valutare se la richiesta di un utente è consentita. Se qualcuno dell'organizzazione personalizzata se la richiesta viene rifiutata, la richiesta viene rifiutata. Poi, Google Cloud verifica la presenza di criteri dell'organizzazione predefiniti applicati a quella risorsa.
Puoi applicare un vincolo booleano creando un criterio dell'organizzazione che vi faccia riferimento. e applicando il criterio dell'organizzazione a una risorsa Google Cloud.Console
Per applicare un vincolo booleano:
- Nella console Google Cloud, vai alla pagina Criteri dell'organizzazione.
- Seleziona il selettore di progetti nella parte superiore della pagina.
- Dal selettore di progetti, scegli il progetto per il quale vuoi impostare criterio dell'organizzazione.
- Seleziona il vincolo dall'elenco nella pagina Criteri dell'organizzazione. Dovrebbe essere visualizzata la pagina Dettagli criterio per il vincolo in questione.
- Per configurare il criterio dell'organizzazione per questa risorsa, fai clic su Gestisci criterio.
- Nella pagina Modifica criterio, seleziona Sostituisci criterio della risorsa padre.
- Fai clic su Aggiungi una regola.
- In Applicazione, scegli se applicare questo criterio dell'organizzazione deve essere attivato o disattivato.
- Se vuoi, per applicare le condizioni del criterio dell'organizzazione a un tag, fai clic su Aggiungi condizione. Tieni presente che se aggiungi una regola condizionale a un'organizzazione devi aggiungere almeno una regola incondizionata. In caso contrario, la norma non potrà essere salvata. Per maggiori informazioni i dettagli, vedi Impostazione di un criterio dell'organizzazione con i tag.
- Se si tratta di un vincolo personalizzato, puoi fare clic su Testa modifiche per simulare l'effetto di questo criterio dell'organizzazione. Per ulteriori informazioni, vedi Testa le modifiche ai criteri dell'organizzazione con Policy Simulator.
- Per completare e applicare il criterio dell'organizzazione, fai clic su Imposta criterio. Le norme potrebbero essere necessari fino a 15 minuti.
gcloud
Per creare un criterio dell'organizzazione che applichi un vincolo booleano, crea un criterio File YAML che fa riferimento al vincolo:
name: projects/PROJECT_ID/policies/CONSTRAINT_NAME spec: rules: - enforce: true
Sostituisci quanto segue:
-
PROJECT_ID
: il progetto su cui vuoi applicare in modo forzato i tuoi di blocco. -
CONSTRAINT_NAME
: il nome definito per il vincolo personalizzato. Per ad esempiocustom.enableGkeAutopilot
.
Per applicare il criterio dell'organizzazione contenente il vincolo, esegui questo comando:
gcloud org-policies set-policy POLICY_PATH
Sostituisci POLICY_PATH
con il percorso completo del criterio dell'organizzazione
YAML. L'applicazione del criterio richiederà fino a 15 minuti.
Aggiorna un vincolo personalizzato
Puoi aggiornare un vincolo personalizzato modificandolo nella
nella console Google Cloud o creando un nuovo file YAML e utilizzando
set-custom-constraint
di nuovo il comando gcloud CLI. Non sono presenti
il controllo delle versioni dei vincoli personalizzati, in modo da sovrascrivere le versioni personalizzate
di blocco. Se il vincolo personalizzato è già applicato, il valore
il vincolo viene applicato immediatamente.
Console
Nella console Google Cloud, vai alla pagina Criteri dell'organizzazione.
Seleziona il selettore di progetti nella parte superiore della pagina.
Dal selettore dei progetti, seleziona la risorsa per cui vuoi per aggiornare il criterio dell'organizzazione.
Seleziona il vincolo che vuoi modificare dall'elenco nella Criteri dell'organizzazione. Nella pagina Dettagli norme viene visualizzato un vincolo di rete.
Fai clic su
Modifica vincolo.Apporta modifiche a nome visualizzato, descrizione, metodo di applicazione condizione e azione. Non puoi modificare l'ID vincolo o la risorsa una volta creato il vincolo.
Fai clic su Salva modifiche.
gcloud
Per modificare un vincolo personalizzato esistente utilizzando gcloud CLI, crea un nuovo YAML contenente le modifiche da apportare:
name: organizations/ORGANIZATION_ID/customConstraints/CONSTRAINT_NAME
resourceTypes:
- RESOURCE_NAME
methodTypes:
- METHOD1
- METHOD2
condition: "CONDITION"
actionType: ACTION
displayName: DISPLAY_NAME
description: DESCRIPTION
Sostituisci quanto segue:
ORGANIZATION_ID
: l'ID della tua organizzazione, ad esempio123456789
.CONSTRAINT_NAME
: il nome che vuoi per il tuo nuovo un vincolo personalizzato. Un vincolo personalizzato deve iniziare concustom.
e può includere solo lettere maiuscole, lettere minuscole o numeri, per ad esempiocustom.disableGkeAutoUpgrade
. La lunghezza massima di questo campo è di 70 caratteri, senza contare il prefisso, ad esempio,organizations/123456789/customConstraints/custom.
.RESOURCE_NAME
: il nome completo del Risorsa REST Google Cloud contenente l'oggetto e il campo da limitare. Ad esempio,container.googleapis.com/NodePool
. Per maggiori informazioni informazioni sulle risorse di servizio che puoi utilizzare nel tuo per i vincoli, consulta Servizi supportati da vincoli personalizzati.METHOD1,METHOD2
: un elenco di Metodi RESTful per cui applicare il vincolo. Può essereCREATE
oCREATE
eUPDATE
. Non tutti i servizi Google Cloud supportano entrambi i metodi. A vedere i metodi supportati per ogni servizio, trovare il servizio in Servizi supportati.CONDITION
: una condizione CEL che si riferisce a una di risorse di servizio supportate,"resource.management.autoUpgrade == false"
. Questo campo ha un limite massimo di 1000 caratteri. Per maggiori dettagli sull'utilizzo di CEL, consulta Common Expression Language.ACTION
: l'azione da eseguire secondition
è sono soddisfatte determinate condizioni. Può essereALLOW
oDENY
.DISPLAY_NAME
: un nome per di blocco. Questo campo ha una lunghezza massima di 200 caratteri.DESCRIPTION
: una descrizione del del vincolo che viene visualizzato come messaggio di errore quando il criterio viene violato. Questo ha una lunghezza massima di 2000 caratteri.
Dopo aver creato un nuovo vincolo personalizzato utilizzando gcloud CLI, devi configurarlo per rendere
disponibile per i criteri
dell'organizzazione nella tua organizzazione. Per configurare un vincolo personalizzato, utilizza
il comando gcloud org-policies set-custom-constraint
:
gcloud org-policies set-custom-constraint CONSTRAINT_PATHSostituisci
CONSTRAINT_PATH
con il percorso completo del tuo
personalizzato. Ad esempio, /home/user/customconstraint.yaml
.
Al termine, troverai i vincoli personalizzati come criteri dell'organizzazione disponibili
nel tuo elenco di criteri dell'organizzazione
di Google Cloud.
Per verificare che il vincolo personalizzato esista, utilizza il metodo
Comando gcloud org-policies list-custom-constraints
:
gcloud org-policies list-custom-constraints --organization=ORGANIZATION_IDSostituisci
ORGANIZATION_ID
con l'ID della risorsa dell'organizzazione.
Per ulteriori informazioni, vedi
Visualizzazione dei criteri dell'organizzazione.Elimina un vincolo personalizzato
Puoi eliminare un vincolo personalizzato utilizzando la console Google Cloud o gcloud CLI.
Console
Nella console Google Cloud, vai alla pagina Criteri dell'organizzazione.
Seleziona il selettore di progetti nella parte superiore della pagina.
Dal selettore dei progetti, seleziona la risorsa per cui vuoi per eliminare il criterio dell'organizzazione.
Seleziona il vincolo che vuoi eliminare dall'elenco nella Criteri dell'organizzazione. Nella pagina Dettagli norme viene visualizzato un vincolo di rete.
Fai clic su
Elimina.Per confermare di voler eliminare il vincolo, fai clic su Elimina.
gcloud
Per eliminare un vincolo personalizzato, utilizza org-policies delete-custom-constraint
Comando gcloud CLI:
gcloud org-policies delete-custom-constraint custom.CONSTRAINT_NAME \
--organization=ORGANIZATION_ID
Sostituisci quanto segue:
ORGANIZATION_ID
: l'ID della tua organizzazione, ad esempio123456789
.CONSTRAINT_NAME
: il nome della tua personalizzata di blocco. Ad esempio,
.custom.disableGkeAutoUpgrade
L'output è simile al seguente:
Deleted custom constraint [organizations/123456789/customConstraints/custom.disableGkeAutoUpgrade
]
Se elimini un vincolo personalizzato, tutti i criteri creati utilizzando il vincolo continua a esistere, ma viene ignorato. Non puoi crearne un'altra vincolo personalizzato con lo stesso nome di un vincolo personalizzato eliminato.
Esempio: utilizza un vincolo personalizzato per imporre l'uso di SSD anziché HDD
Crea il file
dataDiskType.yaml
come segue:name: organizations/651333429324/customConstraints/custom.dataDiskType resourceTypes: - sqladmin.googleapis.com/Instance methodTypes: - CREATE - UPDATE condition: resource.settings.dataDiskType == "PD_SSD" actionType: ALLOW displayName: dataDiskType must be PD_SDD description: dataDiskType must be PD_SSD
Ciò garantisce che tutti i metodi
CREATE
eUPDATE
su un'istanza soddisfino il vincolo didataDiskType
, ovveroSSD
. Di conseguenza, tutte le istanze che coinvolgonoHDD
vengono rifiutate.Configura il vincolo personalizzato a livello di organizzazione:
gcloud org-policies set-custom-constraint dataDiskType.yaml
Crea "enforceDataDiskType.yaml" come segue:
name: projects/custom-constraints-cloudsql3/policies/custom.dataDiskType spec: rules: - enforce: true
Applica il vincolo personalizzato a livello di progetto:
gcloud org-policies set-policy enforceDataDiskType.yaml
Passaggi successivi
- Scopri di più sui criteri dell'organizzazione.
- Scopri come funziona l'IP privato con Cloud SQL.
- Scopri come configurare l'IP privato per Cloud SQL.
- Scopri di più sul servizio Criteri dell'organizzazione.
- Scopri di più sui vincoli dei criteri dell'organizzazione.
- Scopri di più su come creare e gestire i criteri dell'organizzazione personalizzati