Özel kuruluş politikası kısıtlamaları

Bu sayfada, aşağıdaki Cloud Storage for Firebase kaynaklarında belirli işlemleri kısıtlamak için Google Cloud Kuruluş Politikası Hizmeti özel kısıtlamalarının nasıl kullanılacağı gösterilmektedir:

• firebasestorage.googleapis.com/DefaultBucket

Kuruluş Politikası hakkında daha fazla bilgi edinmek için Özel kuruluş politikaları başlıklı makaleyi inceleyin.

Kuruluş politikaları ve kısıtlamaları hakkında

Google Cloud Organization Policy Service, kuruluşunuzun kaynakları üzerinde merkezi ve programatik kontrol sağlar. Kuruluş politikası yöneticisi olarak, Google Cloud kaynak hiyerarşisindeki Google Cloud kaynaklarına ve bu kaynakların alt öğelerine uygulanan kısıtlamalar adlı bir kısıtlama grubu olan kuruluş politikasını tanımlayabilirsiniz. Kuruluş politikalarını kuruluş, klasör veya proje düzeyinde uygulayabilirsiniz.

Kuruluş Politikası, çeşitli Google Cloud hizmetleri için yerleşik yönetilen kısıtlamalar sunar. Ancak kuruluş politikalarınızda kısıtlanan belirli alanlar üzerinde daha ayrıntılı ve özelleştirilebilir bir kontrol istiyorsanız özel kısıtlamalar oluşturabilir ve bu özel kısıtlamaları bir kuruluş politikasında kullanabilirsiniz.

Politika devralma

Varsayılan olarak kuruluş politikaları, politikayı uyguladığınız kaynakların alt öğeleri tarafından devralınır. Örneğin, bir klasörde politika uygularsanız Google Cloud, politikayı klasördeki tüm projelere uygular. Bu davranış ve nasıl değiştirileceği hakkında daha fazla bilgi edinmek için Hiyerarşi değerlendirme kuralları başlıklı makaleyi inceleyin.

Ayrıca Cloud Storage for Firebase, dosyaları temel Cloud Storage paketlerinde depoladığı için Cloud Storage kaynaklarına uygulanan tüm kuruluş politikaları veya özel kısıtlamalar Cloud Storage for Firebase paketleriniz için de geçerlidir.

Avantajları

• Güvenlik ve yönetim: Veri barındırma ve maliyet yönetimiyle ilgili kurallara uyulmasını sağlamak için paket temel hazırlığı üzerinde merkezi kurumsal kontrolü zorunlu kılın.Cloud Storage
• Ayrıntılı özellik kontrolü: storageClass veya location gibi belirli kaynak özelliklerine göre varsayılan paket oluşturma işlemini kısıtlayın.

Sınırlamalar

Cloud Storage for Firebase ile özel kuruluş politikaları kullanılırken aşağıdaki sınırlamalar geçerlidir:

• Geçmişe dönük yaptırım yok: Yeni uygulanan özel kısıtlamalar mevcut kaynaklar için geçerli değildir. Mevcut varsayılan paketler güncellenmedikleri sürece değerlendirilmez. Bir kısıtlamayı ihlal edebilecek mevcut kaynakları belirlemek için deneme modunu kullanarak politikaları test edebilirsiniz.
• Erişim denetimi kısıtlamaları: Özel kısıtlamalar, paketlerdeki erişim denetimi listelerini (ACL'ler) veya IAM politikalarını kısıtlayamaz.

Başlamadan önce

1. Firebase konsolunda bir Firebase projesi seçin veya oluşturun.

   Projenizin bir kuruluşun parçası olduğundan ve kuruluş kimliğinizi bildiğinizden emin olun.

2. Komut satırını kullanarak özel kısıtlamalar oluşturmak ve uygulamak için Google Cloud CLI'yı yükleyin (gcloud). Özel kuruluş politikaları, Firebase CLI kullanılarak yönetilemez.

Gerekli roller

Özel kuruluş politikalarını yönetmek için gereken izinleri almak üzere yöneticinizden size kuruluşta Kuruluş Politikası Yöneticisi (roles/orgpolicy.policyAdmin) IAM rolünü vermesini isteyin.

Cloud Storage for Firebase desteklenen kaynak

Aşağıdaki tabloda, özel kısıtlamalarda referans verebileceğiniz Cloud Storage for Firebase kaynakları listelenmiştir. Bu kaynaklardaki özel kısıtlamalar Cloud Storage for Firebase paketleri için de geçerli olduğundan Cloud Storage desteklenen kaynaklara da başvurabilirsiniz.

Özel kısıtlama oluşturma

Özel kısıtlama, kuruluş politikasını uyguladığınız hizmet tarafından desteklenen kaynaklar, yöntemler, koşullar ve işlemlerle bir YAML dosyasında tanımlanır. Özel kısıtlamalarınızın koşulları, Common Expression Language (CEL) kullanılarak tanımlanır. CEL kullanarak özel kısıtlamalarda koşul oluşturma hakkında daha fazla bilgi için Özel kısıtlama oluşturma ve yönetme başlıklı makalenin CEL bölümüne bakın.

Özel bir kuruluş politikasını zorunlu kılma

Kısıtlamayı zorunlu kılmak için kısıtlamaya referans veren bir kuruluş politikası oluşturup bu politikayı bir Google Cloud kaynağına uygulayabilirsiniz.

Özel kuruluş politikasını test etme

Aşağıdaki örnekte, yeni oluşturulan tüm varsayılan paketlerin STANDARD depolama sınıfını kullanmasını engelleyen özel bir kısıtlama ve politika oluşturulmaktadır. Politikanın engellemesi gereken bir işlemi yapmayı deneyerek politikayı test edebilirsiniz.

Kısıtlamayı oluşturma

1. Aşağıdaki dosyayı constraint-restrict-storage-class.yaml olarak kaydedin:

   name: organizations/ORGANIZATION_ID/customConstraints/custom.restrictStorageClass
   resourceTypes:
   -   firebasestorage.googleapis.com/DefaultBucket
   methodTypes:
   -   CREATE
   condition: "resource.storageClass == 'STANDARD'"
   actionType: DENY
   displayName: Restrict Standard Storage Class
   description: Deny creating buckets with STANDARD storage class.
   

   ORGANIZATION_ID yerine kuruluş kimliğinizi yazın.

2. Kısıtlamayı uygulayın:

   gcloud org-policies set-custom-constraint ~/constraint-restrict-storage-class.yaml
   

3. Kısıtlamanın mevcut olduğunu doğrulayın:

   gcloud org-policies list-custom-constraints --organization=ORGANIZATION_ID
   

   Çıkış şuna benzer:

   CUSTOM_CONSTRAINT            ACTION_TYPE   METHOD_TYPES   RESOURCE_TYPES                                 DISPLAY_NAME
   custom.restrictStorageClass  DENY          CREATE         firebasestorage.googleapis.com/DefaultBucket   Restrict Standard Storage Class
   ...
   

Politikayı oluşturma

1. Aşağıdaki dosyayı policy-restrict-storage-class.yaml olarak kaydedin:

   name: projects/PROJECT_ID/policies/custom.restrictStorageClass
   spec:
     rules:
     -   enforce: true
   

   PROJECT_ID yerine proje kimliğinizi yazın.

2. Politikayı uygulayın:

   gcloud org-policies set-policy ~/policy-restrict-storage-class.yaml
   

3. Politikanın mevcut olduğunu doğrulayın:

   gcloud org-policies list --project=PROJECT_ID
   

   Çıkış şuna benzer:

   CONSTRAINT                   LIST_POLICY    BOOLEAN_POLICY    ETAG
   custom.restrictStorageClass  -              SET               CIqktscGELiZn6cC-
   

Politikayı uyguladıktan sonra Google Cloud uygulamasının politikayı uygulamaya başlaması için yaklaşık iki dakika bekleyin.

Politikayı test etme

Depolama sınıfı belirtmeden (varsayılan olarak STANDARD kullanılır) Cloud Storage for Firebase REST API'yi kullanarak varsayılan bir paket oluşturmayı deneyin:

PROJECT_ID="PROJECT_ID"
TOKEN=$(gcloud auth print-access-token)

curl -X POST "https://firebasestorage.googleapis.com/v1beta/projects/${PROJECT_ID}/defaultBucket" \
  -H "Authorization: Bearer ${TOKEN}" \
  -H "Content-Type: application/json" \
  -d '{"location": "US-EAST1"}'

İstek, aşağıdakine benzer bir hatayla başarısız olur:

FAILED_PRECONDITION: Operation denied by org policy: ["customConstraints/custom.restrictStorageClass": "Deny creating buckets with STANDARD storage class."].
-   '@type': type.googleapis.com/google.rpc.ErrorInfo
  domain: iam.googleapis.com
  metadata:
    customConstraints: customConstraints/custom.restrictStorageClass
  reason: CUSTOM_ORG_POLICY_VIOLATION

Yaygın kullanım alanları için örnek özel kuruluş politikaları

Bu tabloda, bazı yaygın özel kısıtlamalar için söz dizimi örnekleri verilmiştir.

name: organizations/ORGANIZATION_ID/customConstraints/custom.restrictStorageClass
resourceTypes:
-   firebasestorage.googleapis.com/DefaultBucket
methodTypes:
-   CREATE
condition: "resource.storageClass == 'STANDARD'"
actionType: DENY
displayName: Restrict Standard Storage Class
description: Deny creating buckets with STANDARD storage class.

name: organizations/ORGANIZATION_ID/customConstraints/custom.requireDefaultBucketLocation
resourceTypes:
-   firebasestorage.googleapis.com/DefaultBucket
methodTypes:
-   CREATE
condition: "resource.location != 'US-EAST1'"
actionType: DENY
displayName: Require US-EAST1 Location
description: Deny creating default buckets outside the US-EAST1 location.

Sırada ne var?

• Kuruluş Politikası Hizmeti hakkında daha fazla bilgi edinin.
• Kuruluş politikaları oluşturma ve yönetme hakkında daha fazla bilgi edinin.
• Yönetilen kuruluş politikası kısıtlamalarının tam listesini inceleyin.