Utilizzare le policy dell'organizzazione predefinite

Per applicare i requisiti di crittografia a livello di organizzazione ai cluster e ai backup di AlloyDB per PostgreSQL, puoi applicare vincoli delle policy dell'organizzazione predefiniti a livello di progetto, cartella o organizzazione.

Policy dell'organizzazione per le chiavi di crittografia gestite dal cliente (CMEK)

Puoi utilizzare la policy dell'organizzazione CMEK per controllare le impostazioni CMEK dei tuoi cluster e backup AlloyDB. Questa policy ti consente di controllare le chiavi di Cloud Key Management Service (Cloud KMS) che utilizzi per proteggere i tuoi dati.

AlloyDB supporta due vincoli delle policy dell'organizzazione che aiutano ad applicare la protezione CMEK in un'organizzazione:

  • constraints/gcp.restrictNonCmekServices: richiede la protezione CMEK per il servizio alloydb.googleapis.com. Quando aggiungi questo vincolo e aggiungi alloydb.googleapis.com all'elenco dei servizi della policy Deny, AlloyDB rifiuta di creare un nuovo cluster o un backup, a meno che non siano abilitati con CMEK.

  • constraints/gcp.restrictCmekCryptoKeyProjects: limita le CryptoKey di Cloud KMS che puoi utilizzare per la protezione CMEK nei cluster e nei backup di AlloyDB. Con questo vincolo, quando AlloyDB crea un nuovo cluster o un backup con CMEK, la CryptoKey deve provenire da un progetto, una cartella o un'organizzazione consentiti.

Questi vincoli vengono applicati solo ai backup e ai cluster AlloyDB appena creati.

Per ulteriori informazioni generali, consulta Policy dell'organizzazione per le chiavi CMEK. Per informazioni sui vincoli delle policy dell'organizzazione CMEK, consulta Vincoli delle policy dell'organizzazione.

Prima di iniziare

  1. In the Google Cloud console, on the project selector page, select or create a Google Cloud project.

    Roles required to select or create a project

    • Select a project: Selecting a project doesn't require a specific IAM role—you can select any project that you've been granted a role on.
    • Create a project: To create a project, you need the Project Creator role (roles/resourcemanager.projectCreator), which contains the resourcemanager.projects.create permission. Learn how to grant roles.

    Go to project selector

  2. Verify that billing is enabled for your Google Cloud project.

  3. Install the Google Cloud CLI.

  4. Configure the gcloud CLI to use your federated identity.

    For more information, see Sign in to the gcloud CLI with your federated identity.

  5. To initialize the gcloud CLI, run the following command: 

    gcloud init
  6. Aggiungi il ruolo Amministratore policy dell'organizzazione (roles/orgpolicy.policyAdmin) al tuo account utente o di servizio dalla pagina IAM e amministrazione.

    Vai alla pagina Account IAM

Aggiungi la policy dell'organizzazione per le chiavi CMEK

Per aggiungere una policy dell'organizzazione CMEK, segui questi passaggi:

  1. Vai alla pagina Policy dell'organizzazione.

    Vai alla pagina Policy dell'organizzazione

  2. Fai clic sul menu a discesa nella barra dei menu della console Google Cloud , quindi seleziona il progetto, la cartella o l'organizzazione che richiede la policy dell'organizzazione. La pagina Policy dell'organizzazione mostra un elenco dei vincoli delle policy dell'organizzazione disponibili.

  3. Per impostare constraints/gcp.restrictNonCmekServices, segui questi passaggi:

    1. Filtra per il vincolo utilizzando ID: constraints/gcp.restrictNonCmekServices o Name: Restrict which services may create resources without CMEK.
    2. Fai clic sul nome del vincolo.
    3. Fai clic su Modifica.
    4. Fai clic su Personalizza.
    5. Fai clic su Aggiungi regola.
    6. In Valori policy, fai clic su Personalizzato.
    7. In Tipi di policy, seleziona Nega.
    8. In Valori personalizzati, inserisci alloydb.googleapis.com. Questa configurazione applica CMEK durante la creazione di cluster e backup AlloyDB.

  4. Per impostare constraints/gcp.restrictCmekCryptoKeyProjects, segui questi passaggi:

    1. Filtra per il vincolo ID: constraints/gcp.restrictCmekCryptoKeyProjects o Name: Restrict which projects may supply KMS CryptoKeys for CMEK.
    2. Fai clic sul nome del vincolo.
    3. Fai clic su Modifica.
    4. Fai clic su Personalizza.
    5. Fai clic su Aggiungi regola.
    6. In Valori policy, fai clic su Personalizzato.
    7. In Tipi di policy, seleziona Consenti.

    8. In Valori personalizzati, inserisci la risorsa utilizzando il seguente formato: under:organizations/ORGANIZATION_ID, under:folders/FOLDER_ID o projects/PROJECT_ID.

      Questa configurazione limita i cluster e i backup AlloyDB all'utilizzo delle chiavi Cloud KMS solo dal progetto, dalla cartella o dall'organizzazione consentiti.

  5. Fai clic su Fine e poi su Salva.

Passaggi successivi