Contraintes personnalisées liées aux règles d'administration

Cette page vous explique comment utiliser les contraintes personnalisées du service de règles d'administration Google Cloud pour restreindre des opérations spécifiques sur les ressources Cloud Storage for Firebase suivantes :

• firebasestorage.googleapis.com/DefaultBucket

Pour en savoir plus sur les règles d'administration, consultez Règles d'administration personnalisées.

À propos des règles et des contraintes d'administration

Le service de règles d'administration Google Cloud vous offre un contrôle centralisé et automatisé sur les ressources de votre organisation. En tant qu'administrateur des règles d'administration, vous pouvez définir des ensembles de restrictions appelées contraintes qui s'appliquent aux ressources Google Cloud et à leurs descendants dans la hiérarchie des ressources Google Cloud. Chaque ensemble de restrictions constitue une règle d'administration. Vous pouvez appliquer des règles d'administration au niveau d'une organisation, d'un dossier ou d'un projet.

Les règles d'administration fournissent des contraintes gérées intégrées pour divers servicesGoogle Cloud. Toutefois, si vous souhaitez exercer un contrôle plus précis et le personnaliser pour des champs spécifiques restreints dans vos règles d'administration, vous pouvez également créer des contraintes personnalisées et les utiliser dans une règle d'administration.

Héritage des règles

Par défaut, les règles d'administration sont héritées par les descendants des ressources sur lesquelles vous les appliquez. Par exemple, si vous appliquez une règle au niveau d'un dossier, Google Cloud l'applique à tous les projets du dossier. Pour mieux comprendre ce comportement et savoir comment le modifier, consultez Règles d'évaluation hiérarchique.

De plus, étant donné que Cloud Storage for Firebase stocke les fichiers dans des buckets Cloud Storage sous-jacents, toutes les règles d'administration ou contraintes personnalisées appliquées aux ressources Cloud Storage s'appliquent également à vos buckets Cloud Storage for Firebase.

Avantages

• Sécurité et gouvernance : appliquez un contrôle organisationnel centralisé sur le provisionnement des buckets Cloud Storage pour garantir la conformité avec les garde-fous de résidence des données et de gestion des coûts.
• Contrôle précis des attributs : limitez la création de buckets par défaut en fonction d'attributs de ressources spécifiques, tels que storageClass ou location.

Limites

Les limites suivantes s'appliquent lorsque vous utilisez des règles d'administration personnalisées avec Cloud Storage for Firebase :

• Pas d'application rétroactive : les nouvelles contraintes personnalisées mises en place ne s'appliquent pas aux ressources existantes. Les buckets par défaut existants ne sont pas évalués, sauf s'ils sont mis à jour. Pour identifier les ressources existantes susceptibles d'enfreindre une contrainte, vous pouvez tester les règles en mode dry run.
• Restrictions de contrôle des accès : les contraintes personnalisées ne peuvent pas limiter les listes de contrôle d'accès (LCA) ni les stratégies IAM sur les buckets.

Avant de commencer

1. Dans la console Firebase, sélectionnez ou créez un projet Firebase.

   Assurez-vous que votre projet fait partie d'une organisation et que vous connaissez votre ID d'organisation.

2. Pour configurer et appliquer des contraintes personnalisées à l'aide de la ligne de commande, installez la Google Cloud CLI (gcloud). Les règles d'administration personnalisées ne peuvent pas être gérées à l'aide de la CLI Firebase.

Rôles requis

Pour obtenir les autorisations nécessaires pour gérer des règles d'administration personnalisées, demandez à votre administrateur de vous accorder le rôle IAM Administrateur des règles d'administration (roles/orgpolicy.policyAdmin) dans l'organisation.

Cloud Storage for Firebase ressources compatibles

Le tableau suivant répertorie les ressources Cloud Storage for Firebase que vous pouvez référencer dans les contraintes personnalisées. Vous pouvez également référencer les ressources compatibles avec Cloud Storage, car les contraintes personnalisées sur ces ressources s'appliquent également aux buckets Cloud Storage for Firebase.

Configurer une contrainte personnalisée

Une contrainte personnalisée est définie dans un fichier YAML, qui spécifie les ressources, méthodes, conditions et actions compatibles avec le service auquel vous appliquez la règle d'administration. Les conditions de vos contraintes personnalisées sont définies à l'aide du CEL (Common Expression Language). Pour en savoir plus sur la création de conditions dans des contraintes personnalisées à l'aide du CEL, consultez la section CEL de la page Créer et gérer des contraintes personnalisées.

Appliquer une règle d'administration personnalisée

Vous pouvez appliquer une contrainte en créant une règle d'administration qui y fait référence, puis en appliquant cette règle à une ressource Google Cloud.

Tester la règle d'administration personnalisée

L'exemple suivant crée une contrainte et une règle personnalisées qui exigent que tous les buckets par défaut nouvellement créés n'utilisent pas la classe de stockage STANDARD. Vous pouvez tester la règle en essayant d'effectuer une action qu'elle est censée bloquer.

Créer la contrainte

1. Enregistrez le fichier suivant sous le nom constraint-restrict-storage-class.yaml :

   name: organizations/ORGANIZATION_ID/customConstraints/custom.restrictStorageClass
   resourceTypes:
   -   firebasestorage.googleapis.com/DefaultBucket
   methodTypes:
   -   CREATE
   condition: "resource.storageClass == 'STANDARD'"
   actionType: DENY
   displayName: Restrict Standard Storage Class
   description: Deny creating buckets with STANDARD storage class.
   

   Remplacez ORGANIZATION_ID par votre ID d'organisation.

2. Appliquez la contrainte :

   gcloud org-policies set-custom-constraint ~/constraint-restrict-storage-class.yaml
   

3. Vérifiez que la contrainte existe :

   gcloud org-policies list-custom-constraints --organization=ORGANIZATION_ID
   

   Le résultat ressemble à ce qui suit :

   CUSTOM_CONSTRAINT            ACTION_TYPE   METHOD_TYPES   RESOURCE_TYPES                                 DISPLAY_NAME
   custom.restrictStorageClass  DENY          CREATE         firebasestorage.googleapis.com/DefaultBucket   Restrict Standard Storage Class
   ...
   

Créer la règle

1. Enregistrez le fichier suivant sous le nom policy-restrict-storage-class.yaml :

   name: projects/PROJECT_ID/policies/custom.restrictStorageClass
   spec:
     rules:
     -   enforce: true
   

   Remplacez PROJECT_ID par l'ID du projet.

2. Appliquez la règle :

   gcloud org-policies set-policy ~/policy-restrict-storage-class.yaml
   

3. Vérifiez que la règle existe :

   gcloud org-policies list --project=PROJECT_ID
   

   Le résultat ressemble à ce qui suit :

   CONSTRAINT                   LIST_POLICY    BOOLEAN_POLICY    ETAG
   custom.restrictStorageClass  -              SET               CIqktscGELiZn6cC-
   

Une fois la règle activée, Google Cloud commence à l'appliquer au bout d'environ deux minutes.

Tester la stratégie

Essayez de créer un bucket par défaut à l'aide de l'API REST Cloud Storage for Firebase sans spécifier de classe de stockage (qui est définie par défaut sur STANDARD) :

PROJECT_ID="PROJECT_ID"
TOKEN=$(gcloud auth print-access-token)

curl -X POST "https://firebasestorage.googleapis.com/v1beta/projects/${PROJECT_ID}/defaultBucket" \
  -H "Authorization: Bearer ${TOKEN}" \
  -H "Content-Type: application/json" \
  -d '{"location": "US-EAST1"}'

La requête échoue et renvoie une erreur semblable à celle-ci :

FAILED_PRECONDITION: Operation denied by org policy: ["customConstraints/custom.restrictStorageClass": "Deny creating buckets with STANDARD storage class."].
-   '@type': type.googleapis.com/google.rpc.ErrorInfo
  domain: iam.googleapis.com
  metadata:
    customConstraints: customConstraints/custom.restrictStorageClass
  reason: CUSTOM_ORG_POLICY_VIOLATION

Exemples de règles d'administration personnalisées pour des cas d'utilisation courants

Ce tableau fournit des exemples de syntaxe pour certaines contraintes personnalisées courantes.

name: organizations/ORGANIZATION_ID/customConstraints/custom.restrictStorageClass
resourceTypes:
-   firebasestorage.googleapis.com/DefaultBucket
methodTypes:
-   CREATE
condition: "resource.storageClass == 'STANDARD'"
actionType: DENY
displayName: Restrict Standard Storage Class
description: Deny creating buckets with STANDARD storage class.

name: organizations/ORGANIZATION_ID/customConstraints/custom.requireDefaultBucketLocation
resourceTypes:
-   firebasestorage.googleapis.com/DefaultBucket
methodTypes:
-   CREATE
condition: "resource.location != 'US-EAST1'"
actionType: DENY
displayName: Require US-EAST1 Location
description: Deny creating default buckets outside the US-EAST1 location.

Étape suivante

• Découvrez-en plus sur le service de règles d'administration.
• Découvrez comment créer et gérer des règles d'administration.
• Consultez la liste complète des contraintes liées aux règles d'administration gérées.