使用 Gemini Cloud Assist 测试自定义限制条件

本页提供了有关使用 Gemini Cloud Assist 创建和测试自定义组织政策 限制条件的指南。

准备工作

所需的角色

如需获得管理组织政策所需的权限，请让管理员向您授予组织的以下 IAM 角色：

如需详细了解如何授予角色，请参阅管理对项目、文件夹和组织的访问权限。

您也可以通过自定义 角色或其他预定义 角色来获取所需的权限。

您可以通过向组织 政策管理员角色绑定添加 IAM 条件来委托组织政策的管理。如需控制正文可以管理 组织政策的资源，您可以使角色绑定以特定 标记为条件。如需了解详情，请参阅 创建组织政策。

自定义限制条件

自定义限制条件是在 YAML 文件中创建的，该文件指定了受限制条件约束的资源、方法、条件和操作。这些内容特定于您在其中强制执行组织政策的服务。自定义限制条件的条件是使用通用表达式语言 (CEL) 定义的。

设置自定义限制条件

您可以使用 Gemini Cloud Assist 创建自定义限制条件并将其设置为在组织政策中使用。

  1. 在 Google Cloud 控制台中，转到 组织政策 页面。

    转到组织政策

  2. 在页面顶部的项目选择器中，选择要为其设置组织政策的项目。

  3. 在 使用 Gemini 创建自定义组织限制条件 横幅中，点击创建限制条件 。

  4. 在 Cloud Assist 窗格中，发送一条提示，描述您要生成的自定义限制条件。例如：

    “将所有 compute.googleapis.com/Disk 资源的启动磁盘大小限制为 250 GB 或更小。”

  5. 查看响应，其中包含为限制条件生成的代码以及有关限制条件工作方式的其他详细信息，以验证该限制条件是否实现了您的目标。

  6. 可选：如果需要修改限制条件，请发送一条包含所需更改的提示。例如，“can you add asia-east1”指示 Gemini Cloud Assist 将 asia-east1 语言区域添加到限制条件中的相关位置。

  7. 可选：您可以使用 Gemini Cloud Assist 定义测试资源并模拟限制条件，以验证其是否按预期运行。如需了解详情，请参阅 使用 Gemini Cloud Assist 测试自定义限制条件。

  8. 如需使用新限制条件创建自定义组织政策，请点击插入以创建限制条件 。系统会显示创建自定义限制条件 窗口，其中的字段会填充生成的自定义限制条件。 您可以像往常一样测试或创建自定义组织政策。

使用 Gemini Cloud Assist 测试自定义限制条件

您可以使用 Gemini Cloud Assist 测试您创建的自定义限制条件。 创建自定义限制条件后，Gemini Cloud Assist 可以帮助创建一组资源来测试该自定义限制条件，然后模拟该自定义限制条件对这些资源的影响。

  1. 如需创建自定义限制条件，请使用 Gemini Cloud Assist 工作流来 设置自定义限制条件。

  2. 生成自定义限制条件后，点击开始测试 。 系统会生成资源配置列表，其中每个配置都标记为 符合或不符合自定义限制条件。“属性” 列描述了每个资源的唯一属性。

    对于每个符合或不符合的资源，系统都会生成一个 gcloud CLI 命令列表，您可以使用该列表创建 测试用例中定义的资源。

  3. 在 Shell 或 Google Cloud 控制台中输入生成的 gcloud CLI 命令，以创建测试资源。如需了解详情以及有关如何排查问题的说明，请参阅与测试资源相关的特定服务的文档。 Google Cloud

  4. 生成资源后，请至少等待 10 分钟，让资源 准备好进行模拟。

  5. 如需模拟自定义组织政策对 资源的影响，请点击开始模拟。

  6. 查看待模拟的详细信息，然后点击确认 。 模拟最多可能需要一小时才能完成。

    1. 如需查看模拟结果，请前往模拟历史记录 页面。

      前往模拟历史记录

    2. 选择要查看其详细信息的模拟。如果模拟结果不可见，请从页面顶部的项目选择器中选择您的组织。

      在模拟详细信息 页面上，您可以查看违规次数、检查的资源数、模拟日期以及所有配置不合规的资源的列表。

      您还可以通过点击设置试运行政策 ，在试运行模式下设置模拟的组织政策。

      如需了解详情，请参阅 使用 Policy Simulator 测试组织政策更改。

后续步骤