Administra recursos de Cloud Storage con restricciones personalizadas

Consola

1. En la consola de Google Cloud, ve a la página Políticas de la organización.

   Ir a Políticas de la organización

2. Selecciona el Selector de proyectos en la parte superior de la página.

3. En el Selector de proyectos, selecciona el recurso para el que deseas configurar la política de la organización.

4. Haz clic en add Restricción personalizada.

5. En el cuadro Nombre visible, ingresa un nombre descriptivo para la restricción. La longitud máxima de este campo es 200 caracteres. No uses PII ni datos sensibles en nombres de restricciones, ya que podrían exponerse en mensajes de error.

6. En el cuadro ID de restricción, ingresa el nombre que deseas para la nueva restricción personalizada. Una restricción personalizada debe comenzar con custom. y solo puede incluir letras mayúsculas, minúsculas o números, por ejemplo, custom.enforceBucketVersioning. La longitud máxima de este campo es de 70 caracteres, sin contar el prefijo, por ejemplo, organizations/123456789/customConstraints/custom..

7. En el cuadro Description, ingresa una descripción fácil de usar de la restricción que se mostrará como un mensaje de error cuando se infringe la política. La longitud máxima de este campo es 2000 caracteres.

8. En el campo Tipo de recurso, selecciona el nombre del recurso de Google Cloud REST que contiene el objeto y el campo que deseas restringir. Por ejemplo, storage.googleapis.com/Bucket.

9. En Método de aplicación, selecciona si deseas aplicar la restricción en el método de REST CREATE o UPDATE.

10. Para definir una condición, haz clic en edit Editar condición.

    1. En el panel Agregar condición, crea una condición de CEL que haga referencia a un recurso de servicio compatible, por ejemplo resource.versioning.enabled == true. La longitud máxima de este campo es 1000 caracteres.

    2. Haz clic en Guardar.

11. En Acción, selecciona si deseas permitir o rechazar el método evaluado si se cumple la condición.

12. Haz clic en Crear restricción.

Cuando ingreses un valor en cada campo, aparecerá a la derecha la configuración de YAML equivalente para esta restricción personalizada.

gcloud

A fin de crear una restricción personalizada con Google Cloud CLI, crea un archivo YAML para la restricción personalizada:

name: organizations/ORGANIZATION_ID/customConstraints/CONSTRAINT_NAME
resourceTypes:
- RESOURCE_NAME
methodTypes:
- METHOD1
- METHOD2
condition: "CONDITION"
actionType: ACTION
displayName: DISPLAY_NAME
description: DESCRIPTION

Reemplaza lo siguiente:

• ORGANIZATION_ID: el ID de la organización, como 123456789.

• CONSTRAINT_NAME: el nombre que deseas para tu nueva restricción personalizada. Una restricción personalizada debe comenzar con custom. y solo puede incluir letras mayúsculas, minúsculas o números, por ejemplo, custom.enforceBucketVersioning. La longitud máxima de este campo es de 70 caracteres, sin contar el prefijo (por ejemplo, organizations/123456789/customConstraints/custom.).

• RESOURCE_NAME: el nombre completamente calificado del recurso de REST de Google Cloud que contiene el objeto y el campo que deseas restringir. Por ejemplo, storage.googleapis.com/Bucket.

• METHOD1,METHOD2: una lista de métodos de RESTful para aplicar la restricción. Puede ser CREATE o CREATE y UPDATE.

• CONDITION: una condición de CEL que hace referencia a un recurso de servicio compatible, por ejemplo, "resource.versioning.enabled == true". La longitud máxima de este campo es 1000 caracteres. Para obtener detalles sobre el uso de CEL, consulta Common Expression Language.

• ACTION: la acción que se realiza si se cumple condition. Puede ser ALLOW o DENY.

• DISPLAY_NAME: un nombre descriptivo para la restricción. La longitud máxima de este campo es 200 caracteres.

• DESCRIPTION: una descripción fácil de usar de la restricción que se mostrará como un mensaje de error cuando se infringe la política. La longitud máxima de este campo es 2000 caracteres.

Después de crear una nueva restricción personalizada mediante Google Cloud CLI, debes configurarla a fin de que esté disponible para las políticas de la organización de tu organización. Para configurar una restricción personalizada, usa el comando gcloud org-policies set-custom-constraint:

gcloud org-policies set-custom-constraint CONSTRAINT_PATH

gcloud org-policies list-custom-constraints --organization=ORGANIZATION_ID

Si la solicitud se realiza de forma correcta, el resultado es similar al siguiente:

CUSTOM_CONSTRAINT             ACTION_TYPE  METHOD_TYPES   RESOURCE_TYPES                     DISPLAY_NAME
custom.uniformBucketLevelAccess  DENY         CREATE,UPDATE  storage.googleapis.com/Bucket  Enable object versioning

gcloud

1. Crea un archivo de restricción enforceCMEK.yaml con la siguiente información:

   name: organizations/ORGANIZATION_ID/customConstraints/custom.customerManagedEncryptionKeys
   resource_types: storage.googleapis.com/Bucket
   method_types:
   – CREATE
   – UPDATE
   condition: "has(resource.encryption.defaultKmsKeyName)"
   action_type: ALLOW
   display_name: Enforce Cloud KMS key
   description: When this constraint is enforced, newly created buckets and newly updated buckets must be encrypted with a
   Cloud KMS key. The Cloud KMS key on existing buckets can be updated but not deleted.

2. Establece la restricción personalizada.

   gcloud org-policies set-custom-constraint enforceCMEK.yaml
   

3. Crea un archivo de política enforceCMEK-policy.yaml con la siguiente información:

   name: projects/PROJECT_ID/policies/custom.customerManagedEncryptionKeys
   spec:
     rules:
     – enforce: true
   

   Reemplaza PROJECT_ID con el ID del proyecto.

   En este ejemplo, aplicamos esta restricción a nivel del proyecto, pero también puedes configurarla a nivel de la organización o de la carpeta.

4. Aplica la política de manera forzosa.

   gcloud org-policies set-policy enforceCMEK-policy.yaml