Aggiungere criteri dell'organizzazione predefiniti

Questa pagina descrive come aggiungere policy dell'organizzazione alle istanze Cloud SQL per applicare limitazioni a Cloud SQL a livello di progetto, cartella o organizzazione. Per una panoramica, consulta Policy dell'organizzazione di Cloud SQL.

Prima di iniziare

  1. In the Google Cloud console, on the project selector page, select or create a Google Cloud project.

    Roles required to select or create a project

    • Select a project: Selecting a project doesn't require a specific IAM role—you can select any project that you've been granted a role on.
    • Create a project: To create a project, you need the Project Creator role (roles/resourcemanager.projectCreator), which contains the resourcemanager.projects.create permission. Learn how to grant roles.

    Go to project selector

  2. Verify that billing is enabled for your Google Cloud project.

  3. Install the gcloud CLI.

  4. Configure the gcloud CLI to use your federated identity.

    For more information, see Sign in to the gcloud CLI with your federated identity.

  5. To initialize the gcloud CLI, run the following command: 

    gcloud init
  6. Aggiungi il ruolo Amministratore policy dell'organizzazione (roles/orgpolicy.policyAdmin) al tuo account utente o di servizio dalla pagina IAM e amministrazione.

    Vai alla pagina Account IAM

  7. Consulta le limitazioni prima di eseguire questa procedura.

Aggiungi la policy dell'organizzazione per la connessione

Per una panoramica, consulta Policy dell'organizzazione per le connessioni.

Per aggiungere una policy dell'organizzazione per le connessioni:

  1. Vai alla pagina Policy dell'organizzazione.

    Vai alla pagina Policy dell'organizzazione

  2. Fai clic sul menu a discesa dei progetti nella scheda in alto, quindi seleziona il progetto, la cartella o l'organizzazione che richiede la policy dell'organizzazione. La pagina Policy dell'organizzazione mostra un elenco dei vincoli delle policy dell'organizzazione disponibili.

  3. Filtra in base al vincolo name o display_name.

    • Per disattivare l'accesso da o verso internet:

      name: "constraints/sql.restrictPublicIp"
display_name: "Restrict Public IP access on Cloud SQL instances"

    • Per disattivare l'accesso da internet quando manca l'autenticazione IAM (questo non influisce sull'accesso tramite IP privato):

      name: "constraints/sql.restrictAuthorizedNetworks"
display_name: "Restrict Authorized Networks on Cloud SQL instances"

  4. Seleziona il nome della policy dall'elenco.

  5. Fai clic su Modifica.

  6. Fai clic su Personalizza.

  7. Fai clic su Aggiungi regola.

  8. In Applicazione forzata, fai clic su On.

  9. Fai clic su Salva.

Aggiungi la policy dell'organizzazione per le chiavi CMEK

Per una panoramica, consulta Policy dell'organizzazione per le chiavi di crittografia gestite dal cliente.

Per aggiungere una policy dell'organizzazione CMEK:

  1. Vai alla pagina Policy dell'organizzazione.

    Vai alla pagina Policy dell'organizzazione

  2. Fai clic sul menu a discesa dei progetti nella scheda in alto, quindi seleziona il progetto, la cartella o l'organizzazione che richiede la policy dell'organizzazione. La pagina Policy dell'organizzazione mostra un elenco dei vincoli delle policy dell'organizzazione disponibili.

  3. Filtra in base al vincolo name o display_name.

    • Per inserire i nomi dei servizi in un elenco di blocco per assicurarti che CMEK venga utilizzato nelle risorse per quel servizio:

      name: "constraints/gcp.restrictNonCmekServices"
display_name: "Restrict which services may create resources without CMEK"

      Devi aggiungere sqladmin.googleapis.com all'elenco dei servizi limitati con l'azione Nega.

    • Per inserire gli ID progetto in una lista consentita per garantire che per CMEK vengano utilizzate solo le chiavi di un'istanza di Cloud KMS all'interno di quel progetto.

      name: "constraints/gcp.restrictCmekCryptoKeyProjects"
display_name: "Restrict which projects may supply KMS CryptoKeys for CMEK"

  4. Seleziona il nome della policy dall'elenco.

  5. Fai clic su Modifica.

  6. Fai clic su Personalizza.

  7. Fai clic su Aggiungi regola.

  8. In Valori policy, fai clic su Personalizzato.

  9. Per constraints/gcp.restrictNonCmekServices: a. In Tipi di policy, seleziona Nega. b. In Valori personalizzati, inserisci sqladmin.googleapis.com.

    Per constraints/gcp.restrictCmekCryptoKeyProjects: a. In Tipi di policy, seleziona Consenti. b. In Valori personalizzati, inserisci la risorsa utilizzando il seguente formato: under:organizations/ORGANIZATION_ID, under:folders/FOLDER_ID o projects/PROJECT_ID.

  10. Fai clic su Fine.

  11. Fai clic su Salva.

Passaggi successivi