Utilizzare i criteri dell'organizzazione personalizzati

Questa pagina mostra come utilizzare i vincoli personalizzati del servizio di criteri dell'organizzazione per limitare operazioni specifiche sulle seguenti Google Cloud risorse:

  • bigquerydatatransfer.googleapis.com/TransferConfig

Per scoprire di più sui criteri dell'organizzazione, consulta Criteri dell'organizzazione personalizzati.

Informazioni sui criteri e sui vincoli dell'organizzazione

Il Google Cloud servizio Policy dell'organizzazione offre un controllo centralizzato e programmatico sulle risorse della tua organizzazione. In qualità di amministratore dei criteri dell'organizzazione, puoi definire un criterio dell'organizzazione, ovvero un insieme di restrizioni chiamate vincoli che si applicano alle Google Cloud risorse e ai discendenti di queste risorse nella Google Cloud gerarchia delle risorse. Puoi applicare i criteri dell'organizzazione a livello di organizzazione, cartella o progetto.

I criteri dell'organizzazione forniscono limitazioni gestite predefinite per vari Google Cloud servizi. Tuttavia, se vuoi un controllo più granulare e personalizzabile sui campi specifici limitati nei criteri dell'organizzazione, puoi anche creare vincoli personalizzati e utilizzarli in un criterio dell'organizzazione.

Ereditarietà delle norme

Per impostazione predefinita, i criteri dell'organizzazione vengono ereditati dai discendenti delle risorse su cui applichi il criterio. Ad esempio, se applichi un criterio a una cartella, Google Cloud il criterio viene applicato a tutti i progetti contenuti nella cartella. Per scoprire di più su questo comportamento e su come modificarlo, consulta Regole di valutazione della gerarchia.

Vantaggi

Puoi utilizzare un criterio dell'organizzazione personalizzato per consentire o negare operazioni specifiche sulle configurazioni di trasferimento di BigQuery Data Transfer Service al fine di soddisfare i requisiti di conformità e sicurezza della tua organizzazione. Se una richiesta di creazione o aggiornamento di una configurazione di trasferimento non soddisfa i vincoli personalizzati impostati dalle norme della tua organizzazione, la richiesta non va a buon fine e viene restituito un errore al chiamante.

Prima di iniziare

  1. Sign in to your Google Cloud account. If you're new to Google Cloud, create an account to evaluate how our products perform in real-world scenarios. New customers also get $300 in free credits to run, test, and deploy workloads.

  2. In the Google Cloud console, on the project selector page, select or create a Google Cloud project.

    Go to project selector

  3. Make sure that billing is enabled for your Google Cloud project.

  4. Install the Google Cloud CLI.

  5. If you're using an external identity provider (IdP), you must first sign in to the gcloud CLI with your federated identity.

  6. To initialize the gcloud CLI, run the following command: 

    gcloud init

  7. In the Google Cloud console, on the project selector page, select or create a Google Cloud project.

    Go to project selector

  8. Make sure that billing is enabled for your Google Cloud project.

  9. Install the Google Cloud CLI.

  10. If you're using an external identity provider (IdP), you must first sign in to the gcloud CLI with your federated identity.

  11. To initialize the gcloud CLI, run the following command: 

    gcloud init
  12. Assicurati di conoscere il ID organizzazione.

    13. Ruoli obbligatori

    Per ottenere le autorizzazioni necessarie per gestire i criteri dell'organizzazione, chiedi all'amministratore di concederti i seguenti ruoli IAM:

    Per ulteriori informazioni sulla concessione dei ruoli, consulta Gestire l'accesso a progetti, cartelle e organizzazioni.

    Questi ruoli predefiniti contengono le autorizzazioni necessarie per gestire le norme dell'organizzazione. Per visualizzare le autorizzazioni esatte richieste, espandi la sezione Autorizzazioni richieste:

    Autorizzazioni obbligatorie

    Per gestire le norme dell'organizzazione sono necessarie le seguenti autorizzazioni:

    • orgpolicy.* nella risorsa dell'organizzazione
    • Crea o aggiorna una configurazione di trasferimento di BigQuery Data Transfer Service:
      • bigquery.transfers.get nella risorsa del progetto
      • bigquery.transfers.update nella risorsa del progetto

    Potresti anche ottenere queste autorizzazioni con ruoli personalizzati o altri ruoli predefiniti.

    Creare un vincolo personalizzato

    Un vincolo personalizzato viene definito in un file YAML dalle risorse, dai metodi, dalle condizioni e dalle azioni supportate dal servizio su cui stai applicando il criterio dell'organizzazione. Le condizioni per i vincoli personalizzati vengono definite utilizzando Common Expression Language (CEL). Per ulteriori informazioni su come creare condizioni nei vincoli personalizzati utilizzando CEL, consulta la sezione CEL di Creare e gestire vincoli personalizzati.

    Per creare una limitazione personalizzata, crea un file YAML utilizzando il seguente formato:

    name: organizations/ORGANIZATION_ID/customConstraints/CONSTRAINT_NAME
resourceTypes:
- RESOURCE_NAME
methodTypes:
- CREATE
- UPDATE
condition: "CONDITION"
actionType: ACTION
displayName: DISPLAY_NAME
description: DESCRIPTION

    Sostituisci quanto segue:

    • ORGANIZATION_ID: l'ID della tua organizzazione, ad esempio 123456789.

    • CONSTRAINT_NAME: il nome che vuoi assegnare al nuovo vincolo personalizzato. Un vincolo personalizzato deve iniziare con custom. e può includere solo lettere maiuscole, lettere minuscole o numeri. Ad esempio, custom.dtsEnableEmailNotification. La lunghezza massima di questo campo è di 70 caratteri.

    • RESOURCE_NAME: il nome completo della risorsaGoogle Cloud contenente l'oggetto e il campo da limitare. Ad esempio: bigquerydatatransfer.googleapis.com/TransferConfig.

    • CONDITION: una condizione CEL scritta in base a una rappresentazione di una risorsa di servizio supportata. Questo campo ha una lunghezza massima di 1000 caratteri. Consulta la sezione Risorse supportate per ulteriori informazioni sulle risorse disponibili per la scrittura delle condizioni. Ad esempio, resource.emailPreferences.enableFailureEmail == true.

    • ACTION: l'azione da intraprendere se viene soddisfatto il criterio condition. I valori possibili sono ALLOW e DENY.

    • DISPLAY_NAME: un nome facile da ricordare per la limitazione. Questo campo ha una lunghezza massima di 200 caratteri.

    • DESCRIPTION: una descrizione chiara del vincolo da visualizzare come messaggio di errore in caso di violazione del criterio. Questo campo ha una lunghezza massima di 2000 caratteri.

    Per saperne di più su come creare un vincolo personalizzato, consulta Definire vincoli personalizzati.

    Configurare un vincolo personalizzato

    Dopo aver creato il file YAML per un nuovo vincolo personalizzato, devi configurarlo per renderlo disponibile per i criteri dell'organizzazione. Per impostare un vincolo personalizzato, utilizza il comando gcloud org-policies set-custom-constraint: 
    gcloud org-policies set-custom-constraint CONSTRAINT_PATH
     Sostituisci CONSTRAINT_PATH con il percorso completo del file delle limitazioni personalizzate. Ad esempio: /home/user/customconstraint.yaml. Al termine, i vincoli personalizzati sono disponibili come criteri dell'organizzazione nel tuo elenco di Google Cloud criteri dell'organizzazione. Per verificare che la limitazione personalizzata esista, utilizza il comando gcloud org-policies list-custom-constraints: 
    gcloud org-policies list-custom-constraints --organization=ORGANIZATION_ID
     Sostituisci ORGANIZATION_ID con l'ID della risorsa della tua organizzazione. Per ulteriori informazioni, consulta Visualizzare i criteri dell'organizzazione.

    Applicare un criterio dell'organizzazione personalizzato

    Puoi applicare un vincolo creando un criterio dell'organizzazione che lo richiami e poi applicando questo criterio dell'organizzazione a una Google Cloud risorsa.

    Console

    1. Nella console Google Cloud , vai alla pagina Criteri dell'organizzazione.

      Vai a Criteri dell'organizzazione

    2. Nel selettore di progetti, seleziona il progetto per cui vuoi impostare il criterio dell'organizzazione.
    3. Nell'elenco della pagina Criteri organizzazione, seleziona il vincolo per visualizzare la pagina Dettagli criteri relativa al vincolo in questione.
    4. Per configurare il criterio dell'organizzazione per questa risorsa, fai clic su Gestisci criterio.
    5. Nella pagina Modifica criterio, seleziona Ignora criterio della risorsa padre.
    6. Fai clic su Aggiungi una regola.
    7. Nella sezione Applicazione, seleziona se l'applicazione di questo criterio dell'organizzazione è attivata o disattivata.
    8. (Facoltativo) Per rendere il criterio dell'organizzazione condizionale su un tag, fai clic su Aggiungi condizione. Tieni presente che se aggiungi una regola condizionale a un criterio dell'organizzazione, devi aggiungere almeno una regola non condizionale, altrimenti il criterio non può essere salvato. Per ulteriori informazioni, consulta Impostare un criterio dell'organizzazione con tag.
    9. Fai clic su Testa modifiche per simulare l'effetto delle norme dell'organizzazione. La simulazione delle norme non è disponibile per i vincoli gestiti legacy. Per ulteriori informazioni, consulta Testa le modifiche ai criteri dell'organizzazione con Policy Simulator.
    10. Per completare e applicare il criterio dell'organizzazione, fai clic su Imposta criterio. L'applicazione del criterio può richiedere fino a 15 minuti.

    gcloud

    Per creare un criterio dell'organizzazione con regole booleane, crea un file YAML del criterio che fa riferimento al vincolo: 

          name: projects/PROJECT_ID/policies/CONSTRAINT_NAME
      spec:
        rules:
        - enforce: true

    Sostituisci quanto segue:

    • PROJECT_ID: il progetto su cui vuoi applicare il vincolo.
    • CONSTRAINT_NAME: il nome definito per il vincolo personalizzato. Ad esempio custom.dtsEnableEmailNotification.

    Per applicare il criterio dell'organizzazione contenente la limitazione, esegui il seguente comando: 

        gcloud org-policies set-policy POLICY_PATH

    Sostituisci POLICY_PATH con il percorso completo del file YAML del criterio dell'organizzazione. L'applicazione del criterio può richiedere fino a 15 minuti.

    Testa il criterio dell'organizzazione personalizzato

    L'esempio seguente crea un vincolo e un criterio personalizzati che richiedono l'attivazione delle notifiche via email per tutte le nuove configurazioni di trasferimento in un progetto specifico.

    Prima di iniziare, devi sapere quanto segue:

    • Il tuo ID organizzazione
    • Un ID progetto

    Crea il vincolo

    1. Salva il seguente file come constraint-dts-enable-email.yaml:

      name: organizations/ORGANIZATION_ID/customConstraints/custom.dtsEnableEmailNotification
resourceTypes:
- bigquerydatatransfer.googleapis.com/TransferConfig
methodTypes:
- CREATE
condition: resource.emailPreferences.enableFailureEmail == true
actionType: ALLOW
displayName: The BigQuery Data Transfer Service always enables email notications
description: The BigQuery Data Transfer Service always enables email notications on data transfer failures.

      Sostituisci ORGANIZATION_ID con il tuo ID organizzazione.

      Questo definisce un vincolo che controlla se le notifiche via email sono attivate per una nuova configurazione di trasferimento. Se non sono attivati, l'operazione viene rifiutata.

    2. Applica il vincolo:

      gcloud org-policies set-custom-constraint ~/constraint-dts-enable-email.yaml

    3. Verifica che il vincolo esista:

      gcloud org-policies list-custom-constraints --organization=ORGANIZATION_ID

      L'output è simile al seguente:

      CUSTOM_CONSTRAINT                  ACTION_TYPE  METHOD_TYPES   RESOURCE_TYPES                                      DISPLAY_NAME
custom.dtsEnableEmailNotification  ALLOW        CREATE         bigquerydatatransfer.googleapis.com/TransferConfig  The BigQuery Data Transfer Service always enables email notications
...

    Crea il criterio

    1. Salva il seguente file come policy-dts-enable-email.yaml:

      name: projects/PROJECT_ID/policies/custom.dtsEnableEmailNotification
spec:
  rules:
  - enforce: true

      Sostituisci PROJECT_ID con l'ID progetto.

    2. Applica il criterio:

      gcloud org-policies set-policy ~/policy-dts-enable-email.yaml

    3. Verifica che il criterio esista:

      gcloud org-policies list --project=PROJECT_ID

      L'output è simile al seguente:

      CONSTRAINT                         LIST_POLICY  BOOLEAN_POLICY        ETAG
custom.dtsEnableEmailNotification  -            SET                   CPyxlbgGENDL3tEC-

    Dopo aver applicato il criterio, attendi circa due minuti per Google Cloud iniziare a applicarlo.

    Testa il criterio

    Nel progetto, prova a creare una configurazione di trasferimento di BigQuery Data Transfer Service con la notifica via email disattivata.

    L'output è il seguente:

    Operation denied by custom org policy: ["customConstraints/custom.dtsEnableEmailNotification": "The BigQuery Data Transfer Service always enables email notications on data transfer failures."].

    Esempi di criteri dell'organizzazione personalizzati per casi d'uso comuni

    La tabella seguente fornisce la sintassi di alcuni vincoli personalizzati per i casi d'uso comuni:

    Descrizione Sintassi dei vincoli
    Non consentire i trasferimenti di dati da Azure Blob Storage 
        name: organizations/ORGANIZATION_ID/customConstraints/custom.denyDtsAzureTransfers
    resourceTypes:
    - bigquerydatatransfer.googleapis.com/TransferConfig
    methodTypes:
    - CREATE
    condition: resource.dataSourceId == "azure_blob_storage"
    actionType: DENY
    displayName: Deny data transfers from Azure Blob Storage to BigQuery
    description: Disallow creating data transfer configurations from Azure Blob Storage.
    Attiva sempre la pianificazione automatica 
        name: organizations/ORGANIZATION_ID/customConstraints/custom.dtsNoManualSchedule
    resourceTypes:
    - bigquerydatatransfer.googleapis.com/TransferConfig
    methodTypes:
    - CREATE
    - UPDATE
    condition: resource.scheduleOptions.disableAutoScheduling == false
    actionType: ALLOW
    displayName: Transfer configurations always enable auto-scheduling
    description: Always enable auto-scheduling for BigQuery Data Transfer Service transfer configurations.
    I trasferimenti di Google Ads devono avere una finestra di aggiornamento dei dati di più di tre giorni 
        name: organizations/ORGANIZATION_ID/customConstraints/custom.dtsGoogleAdsConstraint
    resourceTypes:
    - bigquerydatatransfer.googleapis.com/TransferConfig
    methodTypes:
    - CREATE
    - UPDATE
    condition: resource.dataSourceId == "google_ads" && resource.dataRefreshWindowDays < 3
    actionType: DENY
    displayName: Google Ads transfers data refresh window must be greater than three days
    description: Disallow creating Google Ads data transfer configurations whose data refresh window is less than three days.

    Risorse supportate da BigQuery Data Transfer Service

    La tabella seguente elenca le risorse di BigQuery Data Transfer Service a cui puoi fare riferimento nei vincoli personalizzati.

    Risorsa Campo
    bigquerydatatransfer.googleapis.com/TransferConfig resource.dataRefreshWindowDays
    resource.dataSourceId
    resource.destinationDatasetId
    resource.disabled
    resource.displayName
    resource.emailPreferences.enableFailureEmail
    resource.encryptionConfiguration.kmsKeyName
    resource.name
    resource.notificationPubsubTopic
    resource.schedule
    resource.scheduleOptions.disableAutoScheduling
    resource.scheduleOptions.endTime
    resource.scheduleOptions.startTime
    resource.scheduleOptionsV2.eventDrivenSchedule.pubsubSubscription
    resource.scheduleOptionsV2.timeBasedSchedule.endTime
    resource.scheduleOptionsV2.timeBasedSchedule.schedule
    resource.scheduleOptionsV2.timeBasedSchedule.startTime

    Passaggi successivi