Niestandardowe ograniczenia zasad organizacji

Na tej stronie dowiesz się, jak używać niestandardowych ograniczeń usługi zasad organizacji Google Cloud, aby ograniczyć określone operacje na tych zasobach Cloud Storage for Firebase:

• firebasestorage.googleapis.com/DefaultBucket

Więcej informacji o zasadach organizacji znajdziesz w artykule na temat niestandardowych zasad organizacji.

Informacje o zasadach organizacji i ograniczeniach

Google Cloud Usługa zasad organizacji zapewnia centralną, zautomatyzowaną kontrolę nad zasobami organizacji. Jako administrator zasad organizacji możesz zdefiniować zasadę organizacji, czyli zbiór ograniczeń nazywanych ograniczeniami, które mają zastosowanie do zasobów Google Cloud i zasobów podrzędnych w hierarchii zasobów Google Cloud. Zasady organizacji możesz egzekwować na poziomie organizacji, folderu lub projektu.

Zasady organizacji udostępniają wbudowane zarządzane ograniczenia dla różnych usług Google Cloud. Jeśli jednak chcesz mieć bardziej szczegółową, dostosowywaną kontrolę nad konkretnymi polami, które są ograniczone w zasadach organizacji, możesz też utworzyć niestandardowe ograniczenia i używać ich w zasadach organizacji.

Dziedziczenie zasad

Domyślnie zasady organizacji są dziedziczone przez elementy podrzędne zasobów, w których egzekwujesz zasadę. Jeśli na przykład zastosujesz zasadę do folderu, Google Cloud zastosuje ją do wszystkich projektów w tym folderze. Więcej informacji o tym zachowaniu i o tym, jak je zmienić, znajdziesz w artykule Reguły oceny hierarchii.

Dodatkowo, ponieważ Cloud Storage for Firebase przechowuje pliki w zasobnikach Cloud Storage, wszelkie zasady organizacji lub ograniczenia niestandardowe wymuszane na zasobach Cloud Storage dotyczą również zasobników Cloud Storage for Firebase.

Zalety

• Bezpieczeństwo i zarządzanie: wymuszaj scentralizowaną kontrolę organizacji nad udostępnianiem zasobników Cloud Storage, aby zapewnić zgodność z zasadami dotyczącymi miejsca przechowywania danych i zarządzania kosztami.
• Szczegółowa kontrola atrybutów: ogranicz domyślne tworzenie zasobników na podstawie określonych atrybutów zasobów, takich jak storageClass lub location.

Ograniczenia

W przypadku używania niestandardowych zasad organizacji z Cloud Storage for Firebase obowiązują te ograniczenia:

• Brak egzekwowania z mocą wsteczną: nowo egzekwowane ograniczenia niestandardowe nie mają zastosowania do istniejących zasobów. Istniejące zasobniki domyślne nie są oceniane, chyba że zostaną zaktualizowane. Aby zidentyfikować istniejące zasoby, które mogą naruszać ograniczenie, możesz przetestować zasady w trybie próbnym.
• Ograniczenia kontroli dostępu: ograniczenia niestandardowe nie mogą ograniczać list kontroli dostępu (ACL) ani zasad uprawnień w zasobnikach.

Zanim zaczniesz

1. W konsoli Firebase wybierz lub utwórz projekt w Firebase.

   Upewnij się, że Twój projekt należy do organizacji i że znasz jej identyfikator.

2. Aby skonfigurować i egzekwować ograniczenia niestandardowe za pomocą wiersza poleceń, zainstaluj Google Cloud CLI (gcloud). Niestandardowymi zasadami organizacji nie można zarządzać za pomocą wiersza poleceń Firebase.

Wymagane role

Aby uzyskać uprawnienia niezbędne do zarządzania niestandardowymi zasadami organizacji, poproś administratora o przyznanie Ci roli uprawnień administrator zasad organizacji (roles/orgpolicy.policyAdmin) w organizacji.

Obsługiwane zasoby: Cloud Storage for Firebase

W tabeli poniżej znajdziesz zasoby Cloud Storage for Firebase, do których możesz się odwoływać w ograniczeniach niestandardowych. Możesz też zapoznać się z zasobami obsługiwanymi przez Cloud Storage, ponieważ ograniczenia niestandardowe dotyczące tych zasobów mają też zastosowanie do zasobników Cloud Storage for Firebase.

Konfigurowanie ograniczenia niestandardowego

Ograniczenie niestandardowe jest definiowane w pliku YAML przez zasoby, metody, warunki i działania obsługiwane przez usługę, w której egzekwujesz zasadę organizacji. Warunki ograniczeń niestandardowych są definiowane za pomocą języka Common Expression Language (CEL). Więcej informacji o tworzeniu warunków w ograniczeniach niestandardowych za pomocą języka CEL znajdziesz w sekcji dotyczącej języka CEL w artykule Tworzenie ograniczeń niestandardowych i zarządzanie nimi.

Egzekwowanie niestandardowej zasady organizacji

Możesz wymusić ograniczenie, tworząc zasadę organizacji, która się do niego odwołuje, a następnie stosując tę zasadę do zasobu Google Cloud.

Testowanie niestandardowej zasady organizacji

W tym przykładzie tworzone są ograniczenie niestandardowe i zasada, które wymagają, aby wszystkie nowo utworzone domyślne zasobniki nie używały klasy pamięci masowej STANDARD. Możesz przetestować zasadę, próbując wykonać działanie, któremu zasada powinna zapobiec.

Utwórz ograniczenie

1. Zapisz ten plik jako constraint-restrict-storage-class.yaml:

   name: organizations/ORGANIZATION_ID/customConstraints/custom.restrictStorageClass
   resourceTypes:
   -   firebasestorage.googleapis.com/DefaultBucket
   methodTypes:
   -   CREATE
   condition: "resource.storageClass == 'STANDARD'"
   actionType: DENY
   displayName: Restrict Standard Storage Class
   description: Deny creating buckets with STANDARD storage class.
   

   Zastąp ORGANIZATION_ID identyfikatorem organizacji.

2. Zastosuj ograniczenie:

   gcloud org-policies set-custom-constraint ~/constraint-restrict-storage-class.yaml
   

3. Sprawdź, czy ograniczenie istnieje:

   gcloud org-policies list-custom-constraints --organization=ORGANIZATION_ID
   

   Dane wyjściowe są podobne do tych:

   CUSTOM_CONSTRAINT            ACTION_TYPE   METHOD_TYPES   RESOURCE_TYPES                                 DISPLAY_NAME
   custom.restrictStorageClass  DENY          CREATE         firebasestorage.googleapis.com/DefaultBucket   Restrict Standard Storage Class
   ...
   

Tworzenie zasady

1. Zapisz ten plik jako policy-restrict-storage-class.yaml:

   name: projects/PROJECT_ID/policies/custom.restrictStorageClass
   spec:
     rules:
     -   enforce: true
   

   Zastąp PROJECT_ID identyfikatorem projektu.

2. Zastosuj zasadę:

   gcloud org-policies set-policy ~/policy-restrict-storage-class.yaml
   

3. Sprawdź, czy zasada istnieje:

   gcloud org-policies list --project=PROJECT_ID
   

   Dane wyjściowe są podobne do tych:

   CONSTRAINT                   LIST_POLICY    BOOLEAN_POLICY    ETAG
   custom.restrictStorageClass  -              SET               CIqktscGELiZn6cC-
   

Po zastosowaniu zasady odczekaj około 2 minut, aż Google Cloud zacznie ją egzekwować.

Testowanie zasady

Spróbuj utworzyć domyślny zasobnik za pomocą interfejsu API typu REST Cloud Storage for Firebase bez określania klasy pamięci (która domyślnie jest ustawiona na STANDARD):

PROJECT_ID="PROJECT_ID"
TOKEN=$(gcloud auth print-access-token)

curl -X POST "https://firebasestorage.googleapis.com/v1beta/projects/${PROJECT_ID}/defaultBucket" \
  -H "Authorization: Bearer ${TOKEN}" \
  -H "Content-Type: application/json" \
  -d '{"location": "US-EAST1"}'

Żądanie nie powiedzie się i pojawi się błąd podobny do tego:

FAILED_PRECONDITION: Operation denied by org policy: ["customConstraints/custom.restrictStorageClass": "Deny creating buckets with STANDARD storage class."].
-   '@type': type.googleapis.com/google.rpc.ErrorInfo
  domain: iam.googleapis.com
  metadata:
    customConstraints: customConstraints/custom.restrictStorageClass
  reason: CUSTOM_ORG_POLICY_VIOLATION

Przykładowe niestandardowe zasady organizacji w typowych przypadkach użycia

Ta tabela zawiera przykłady składni niektórych typowych ograniczeń niestandardowych.

name: organizations/ORGANIZATION_ID/customConstraints/custom.restrictStorageClass
resourceTypes:
-   firebasestorage.googleapis.com/DefaultBucket
methodTypes:
-   CREATE
condition: "resource.storageClass == 'STANDARD'"
actionType: DENY
displayName: Restrict Standard Storage Class
description: Deny creating buckets with STANDARD storage class.

name: organizations/ORGANIZATION_ID/customConstraints/custom.requireDefaultBucketLocation
resourceTypes:
-   firebasestorage.googleapis.com/DefaultBucket
methodTypes:
-   CREATE
condition: "resource.location != 'US-EAST1'"
actionType: DENY
displayName: Require US-EAST1 Location
description: Deny creating default buckets outside the US-EAST1 location.

Co dalej?

• Dowiedz się więcej o usłudze zasad organizacji.
• Dowiedz się więcej o tworzeniu zasad organizacji i zarządzaniu nimi.
• Zobacz pełną listę zarządzanych ograniczeń zasad organizacji.