快速入门：根据 Google Cloud 最佳实践和自定义规则评估工作负载

Workload Manager 可帮助您扫描工作负载，检测其配置是否偏离标准和最佳实践，从而提升系统质量、可靠性和性能。在本快速入门中，您将在 Google Cloud 控制台中创建并运行工作负载评估，以根据Google Cloud 最佳实践和自定义规则检查工作负载。

准备工作

  1. 验证您要评估的 Google Cloud 资源是否已在目标项目中创建。如需查看支持的资源和规则列表，请参阅 Google Cloud 最佳实践参考。
  2. 在您创建和运行评估的 Google Cloud 使用方项目中启用以下 API：
  3. 可选：如果您想在内置 Google Cloud 最佳实践之外添加自定义规则，请将 GoogleCloudPlatform/workload-manager GitHub 代码库中的示例规则上传到 Cloud Storage 存储桶，其顶层包含 /lib 和 /rules 文件夹。如需详细了解如何上传自定义规则，请参阅使用 Rego 编写自定义规则。

所需的角色

如需获得创建和运行工作负载评估所需的权限，请让管理员向您授予以下 IAM 角色：

  • 创建和运行评估：使用方项目的 Workload Manager Evaluation Administrator (roles/workloadmanager.evaluationAdmin)
  • 创建服务代理（仅限首次评估）：使用方项目和目标项目的 Project IAM Admin (roles/resourcemanager.projectIamAdmin)
  • 读取 Cloud Asset Inventory 数据：针对使用方项目的 Cloud Asset Owner (roles/cloudasset.owner)
  • 从 Cloud Storage 存储桶读取自定义规则（可选）：使用方项目上的 Storage Object Viewer (roles/storage.objectViewer) 角色

如需详细了解如何授予角色，请参阅管理对项目、文件夹和组织的访问权限。

这些预定义角色包含创建和运行工作负载评估所需的权限。如需查看所需的确切权限，请展开所需权限部分：

所需权限

如需创建和运行工作负载评估，您需要具备以下权限：

  • 创建和运行评估：
    • 针对使用方项目的 workloadmanager.evaluations.create
    • 针对使用方项目的 workloadmanager.evaluations.run
  • 创建服务代理（仅限首次评估）：使用方和目标项目上的 resourcemanager.projects.setIamPolicy
  • 读取 Cloud Asset Inventory 数据：针对使用方项目的 cloudasset.assets.searchAllResources
  • 从 Cloud Storage 存储桶读取自定义规则（可选）：
    • 针对使用方项目的 storage.objects.get
    • 针对使用方项目的 storage.objects.list

您也可以使用自定义角色或其他预定义角色来获取这些权限。

如需详细了解使用方项目和目标项目中的必需角色，请参阅使用方项目和目标项目中用于评估的 IAM 角色以及 Workload Manager IAM 角色和权限。

创建工作负载评估

如需在 Google Cloud 控制台中创建工作负载评估，请按以下步骤操作：

  1. 在 Google Cloud 控制台中，前往 Workload Manager 页面。

    前往 Workload Manager
    其余步骤会显示在 Google Cloud 控制台中。

  2. 选择要存储和运行评估的 Google Cloud 使用方项目。
  3. 如果系统提示您为 Workload Manager 启用所需的 API，请点击启用。
  4. 点击新建评估。
  5. 在名称和规则窗格中，配置评估详细信息并选择要评估的规则：
    1. 在评估名称部分，输入 my-custom-evaluation。
    2. 可选：对于说明，输入工作负载评估的说明。
    3. 在工作负载类型字段中，选择自定义。
    4. 可选：如需在内置 Google Cloud 最佳实践之外添加自定义规则，请选择包含自定义规则的 Cloud Storage 存储桶。
    5. 从规则表中，选择要用来验证资源的最佳实践规则。如需详细了解受支持的规则，请参阅 Google Cloud 最佳实践参考。
  6. 点击继续。
  7. 在范围和过滤条件窗格中，指定目标范围、资源过滤条件和评估区域：
    1. 在评估范围部分中，如需选择要在其中运行评估的组织、文件夹或项目，请点击浏览范围。
    2. 可选：如需在目标范围内共享规则发现结果，请选中共享发现结果复选框。
    3. 可选：在对资源应用过滤条件部分中，如需选择特定资源，请点击添加过滤条件，然后使用以下任一过滤条件类型：
      • 服务账号：按 Compute Engine 实例关联的服务账号过滤实例。
      • 标签：按键值标签对过滤资源。
      • 名称：按资源 ID 模式过滤资源。

      同一过滤条件类型中的多个过滤条件使用 OR 逻辑。不同过滤条件类型中的过滤条件使用 AND 逻辑。

    4. 在评估数据的位置部分中，选择您希望 Workload Manager 存储评估数据的区域。
  8. 点击继续。
  9. 在频率和通知窗格中，配置评估时间表和提醒通知：
    1. 在时间安排部分中，选择您希望以何频率运行评估。
    2. 可选：在通知部分，选择您希望接收其提醒通知的事件，然后选择通知渠道。
  10. 点击继续。
  11. 在查看窗格中，查看工作负载评估设置。如需修改任何设置，请点击左侧导航栏中的窗格名称。
  12. 点击创建。

运行工作负载评估

如需在 Google Cloud 控制台中按需运行工作负载评估，请按以下步骤操作：

  1. 在 Google Cloud 控制台中，前往 Workload Manager 页面。

    前往 Workload Manager
    其余步骤会显示在 Google Cloud 控制台中。

  2. 点击 my-custom-evaluation。
  3. 在评估信息页面上，点击运行。

    工作负载评估需要几分钟才能完成。在查看结果之前，请等待评估运行完成。

清理

如果您不再需要本快速入门中创建的 my-custom-evaluation 工作负载评估或可选 Cloud Storage 存储桶，可以将其删除。删除评估不会影响您的工作负载。如需详细了解如何删除评估，请参阅删除评估。

后续步骤