I criteri dell'organizzazione Google Cloud ti offrono un controllo centralizzato e programmatico sulle risorse della tua organizzazione. In qualità di amministratore dei criteri dell'organizzazione, puoi definire un criterio dell'organizzazione, ovvero un insieme di limitazioni chiamate vincoli che si applicano alle risorse Google Cloud e ai relativi discendenti nella gerarchia delle risorse Google Cloud. Puoi applicare i criteri dell'organizzazione all'indirizzo a livello di organizzazione, cartella o progetto.
I criteri dell'organizzazione forniscono vincoli predefiniti per vari servizi Google Cloud. Tuttavia, se vuoi un maggiore controllo dei criteri dell'organizzazione, puoi creare criteri personalizzati per l'organizzazione.
Questa pagina descrive come visualizzare, creare e gestire i criteri personalizzati dell'organizzazione. I criteri dell'organizzazione personalizzati vengono creati dagli amministratori per fornire un controllo più granulare e personalizzabile sui campi specifici limitati dai criteri dell'organizzazione.
Prima di iniziare
Per saperne di più su cosa sono i criteri e i vincoli dell'organizzazione e su come funzionano, consulta la Introduzione al servizio dei criteri dell'organizzazione.
Ruoli obbligatori
Per ottenere le autorizzazioni necessarie per gestire i criteri dell'organizzazione,
chiedi all'amministratore di concederti il ruolo IAM Amministratore dei criteri dell'organizzazione (roles/orgpolicy.policyAdmin) nell'organizzazione.
Per saperne di più sulla concessione dei ruoli, consulta Gestire l'accesso a progetti, cartelle e organizzazioni.
Questo ruolo predefinito contiene le autorizzazioni necessarie per gestire i criteri dell'organizzazione. Per vedere le autorizzazioni esatte obbligatorie, espandi la sezione Autorizzazioni obbligatorie:
Autorizzazioni obbligatorie
Per gestire i criteri dell'organizzazione sono necessarie le seguenti autorizzazioni:
-
orgpolicy.constraints.list -
orgpolicy.policies.create -
orgpolicy.policies.delete -
orgpolicy.policies.list -
orgpolicy.policies.update -
orgpolicy.policy.get -
orgpolicy.policy.set
Potresti anche ottenere queste autorizzazioni con ruoli personalizzati o altri ruoli predefiniti.
Vincoli personalizzati
Viene creato un vincolo personalizzato in un file YAML che specifica le risorse, i metodi, le condizioni e le azioni soggetti al vincolo. Questi sono specifici per il servizio su cui stai applicando i criteri dell'organizzazione. La le condizioni per il vincolo personalizzato vengono definite utilizzando l'espressione comune Lingua (CEL).
Configura un vincolo personalizzato
Puoi creare una limitazione personalizzata e configurarla per l'utilizzo nei criteri dell'organizzazione utilizzando la console Google Cloud o Google Cloud CLI.
Console
Nella console Google Cloud, vai alla pagina Criteri dell'organizzazione.
Seleziona il selettore del progetto nella parte superiore della pagina.
Dal selettore dei progetti, seleziona la risorsa per cui vuoi per impostare il criterio dell'organizzazione.
Fai clic su Vincolo personalizzato.
Nella casella Nome visualizzato, inserisci un nome facile da ricordare per la vincolo. Questo campo ha una lunghezza massima di 200 caratteri. Non utilizzare PII o dati sensibili nei nomi visualizzati, perché potrebbero essere esposti nei messaggi di errore.
Nella casella ID vincolo, inserisci il nome che vuoi assegnare al nuovo vincolo personalizzato. Un vincolo personalizzato deve iniziare con
custom.e può includere solo lettere maiuscole, lettere minuscole o numeri, per ad esempiocustom.disableGkeAutoUpgrade. La lunghezza massima di questo campo è di 70 caratteri, senza contare il prefisso, ad esempioorganizations/123456789/customConstraints/custom.. Non includere PII o dati sensibili nell'ID vincolo, perché potrebbero essere esposti nei messaggi di errore.Nella casella Descrizione, inserisci una descrizione semplice per il del vincolo che viene visualizzato come messaggio di errore quando il criterio viene violato. Questo campo ha una lunghezza massima di 2000 caratteri. Non includere PII o dati sensibili nella descrizione, perché potrebbero essere esposti nei messaggi di errore.
Nella casella Tipo di risorsa, seleziona il nome della risorsa REST di Google Cloud contenente l'oggetto e il campo che vuoi limitare, ad esempio
container.googleapis.com/NodePool. Esistono un massimo di 20 vincoli personalizzati per tipo di risorsa. Se provi a creare una configurazione per un tipo di risorsa che ha già 20 vincoli personalizzati, l'operazione non riesce.In Metodo di applicazione, scegli se applicare la limitazione su un metodo REST
CREATEo su entrambi i metodiCREATEeUPDATE. Non tutti i servizi Google Cloud supportano entrambi i metodi. Per vedere i servizi supportati per ogni servizio, trova il servizio in Servizi supportati.Per definire una condizione, fai clic su Modifica condizione.
Nel riquadro Aggiungi condizione, crea una condizione CEL che faccia riferimento a una di risorse di servizio supportate,
resource.management.autoUpgrade == false. Questo campo ha un limite massimo di 1000 caratteri. Per maggiori dettagli sull'utilizzo di CEL, consulta Common Expression Language. Per ulteriori informazioni sulle risorse di servizio che puoi utilizzare nei vincoli personalizzati, consulta Servizi supportati dai vincoli personalizzati.Fai clic su Salva.
In Azione, scegli se consentire o negare il metodo valutato se la condizione di cui sopra è soddisfatta.
L'azione di rifiuto indica che l'operazione di creazione o aggiornamento della risorsa viene bloccata se la condizione restituisce true.
L'azione allow significa che l'operazione per creare o aggiornare è consentita solo se la condizione è true. Ogni evento in altri casi, ad eccezione di quelli esplicitamente elencati nella condizione, è bloccato.
Fai clic su Crea vincolo.
Dopo aver inserito un valore in ciascun campo, il valore YAML equivalente la configurazione del vincolo personalizzato viene visualizzata a destra.
gcloud
Per creare un vincolo personalizzato utilizzando Google Cloud CLI, crea un file YAML per il vincolo personalizzato:
name: organizations/ORGANIZATION_ID/customConstraints/CONSTRAINT_NAME
resourceTypes:
- RESOURCE_NAME
methodTypes:
- METHOD1
- METHOD2
condition: "CONDITION"
actionType: ACTION
displayName: DISPLAY_NAME
description: DESCRIPTION
Sostituisci quanto segue:
ORGANIZATION_ID: l'ID della tua organizzazione, ad esempio123456789.CONSTRAINT_NAME: il nome che vuoi assegnare al nuovo vincolo personalizzato. Un vincolo personalizzato deve iniziare concustom.e può includere solo lettere maiuscole, lettere minuscole o numeri, ad esempiocustom.disableGkeAutoUpgrade. La lunghezza massima di questo campo è di 70 caratteri, senza contare il prefisso, ad esempioorganizations/123456789/customConstraints/custom..RESOURCE_NAME: il nome completamente qualificato della risorsa REST di Google Cloud contenente l'oggetto e il campo che vuoi limitare. Ad esempio,container.googleapis.com/NodePool. Esiste un limite massimo di 20 vincoli personalizzati per tipo di risorsa. Se provi a creare una configurazione per un tipo di risorsa che ha già 20 vincoli personalizzati, non va a buon fine. Per ulteriori informazioni sulle risorse di servizio che puoi usare, nei vincoli personalizzati, vedi Servizi supportati da vincoli personalizzati.METHOD1,METHOD2: un elenco di metodi RESTful per i quali applicare la limitazione. Può essereCREATEoCREATEeUPDATE. Non tutti i servizi Google Cloud supportano entrambi i metodi. A vedere i metodi supportati per ogni servizio, trovare il servizio in Servizi supportati.CONDITION: una condizione CEL che si riferisce a una di risorse di servizio supportate,"resource.management.autoUpgrade == false". Questo campo ha un limite massimo di 1000 caratteri. Per informazioni dettagliate sull'utilizzo di CEL, consulta Common Expression Language.ACTION: l'azione da intraprendere se viene soddisfatto il criteriocondition. Può essereALLOWoDENY.L'azione di negazione significa che se la condizione restituisce true, per creare o aggiornare la risorsa è bloccata.
L'azione allow indica che se la condizione ha valore true, l'operazione di creazione o aggiornamento della risorsa è consentita. Anche questo significa che tutti gli altri casi eccetto quello esplicitamente elencato nel è bloccata.
DISPLAY_NAME: un nome facile da ricordare per la limitazione. Questo campo ha una lunghezza massima di 200 caratteri.DESCRIPTION: una descrizione comprensibile del vincolo da visualizzare come messaggio di errore in caso di violazione del criterio. Questo campo ha una lunghezza massima di 2000 caratteri.
Dopo aver creato il file YAML per un nuovo vincolo personalizzato, devi configurarlo per renderlo disponibile per i criteri dell'organizzazione nella tua organizzazione. Per configurare un vincolo personalizzato, utilizza
il comando gcloud org-policies set-custom-constraint:
gcloud org-policies set-custom-constraint CONSTRAINT_PATH
CONSTRAINT_PATH con il percorso completo del tuo
personalizzato. Ad esempio: /home/user/customconstraint.yaml.
Al termine, troverai i vincoli personalizzati come criteri dell'organizzazione disponibili
nel tuo elenco dei criteri dell'organizzazione Google Cloud.
Per verificare che il vincolo personalizzato esista, utilizza il metodo
Comando gcloud org-policies list-custom-constraints:
gcloud org-policies list-custom-constraints --organization=ORGANIZATION_ID
ORGANIZATION_ID con l'ID della risorsa della tua organizzazione.
Per ulteriori informazioni, vedi
Visualizzazione dei criteri dell'organizzazione.Aggiorna un vincolo personalizzato
Puoi aggiornare un vincolo personalizzato modificandolo nella
nella console Google Cloud o creando un nuovo file YAML e utilizzando
set-custom-constraint di nuovo il comando gcloud CLI. Non è prevista la gestione delle versioni dei vincoli personalizzati, pertanto il vincolo personalizzato esistente viene sovrascritto. Se il vincolo personalizzato è già applicato, il vincolo personalizzato aggiornato ha effetto immediato.
Console
Nella console Google Cloud, vai alla pagina Norme dell'organizzazione.
Seleziona il selettore del progetto nella parte superiore della pagina.
Dal selettore di progetti, seleziona la risorsa per cui vuoi aggiornare il criterio dell'organizzazione.
Seleziona il vincolo da modificare dall'elenco nella pagina Criteri organizzazione. Dovrebbe essere visualizzata la pagina Dettagli delle norme relativa al vincolo in questione.
Fai clic su Modifica vincolo.
Apporta modifiche al nome visualizzato, alla descrizione, al metodo di applicazione, alla condizione e all'azione. Non puoi modificare l'ID vincolo o il tipo di risorsa una volta creato il vincolo.
Fai clic su Salva modifiche.
gcloud
Per modificare un vincolo personalizzato esistente utilizzando Google Cloud CLI, crea un nuovo file YAML contenente le modifiche che vuoi apportare:
name: organizations/ORGANIZATION_ID/customConstraints/CONSTRAINT_NAME
resourceTypes:
- RESOURCE_NAME
methodTypes:
- METHOD1
- METHOD2
condition: "CONDITION"
actionType: ACTION
displayName: DISPLAY_NAME
description: DESCRIPTION
Sostituisci quanto segue:
ORGANIZATION_ID: l'ID della tua organizzazione, ad esempio123456789.CONSTRAINT_NAME: il nome che vuoi assegnare al nuovo vincolo personalizzato. Un vincolo personalizzato deve iniziare concustom.e può includere solo lettere maiuscole, lettere minuscole o numeri, ad esempiocustom.disableGkeAutoUpgrade. La lunghezza massima di questo campo è di 70 caratteri, senza contare il prefisso, ad esempioorganizations/123456789/customConstraints/custom..RESOURCE_NAME: il nome completamente qualificato della risorsa REST di Google Cloud contenente l'oggetto e il campo che vuoi limitare. Ad esempio,container.googleapis.com/NodePool. Per ulteriori informazioni sulle risorse di servizio che puoi utilizzare nei vincoli personalizzati, consulta Servizi supportati dai vincoli personalizzati.METHOD1,METHOD2: un elenco di metodi RESTful per i quali applicare la limitazione. Può essereCREATEoCREATEeUPDATE. Non tutti i servizi Google Cloud supportano entrambi i metodi. Per visualizzare i metodi supportati per ogni servizio, individua il servizio in Servizi supportati.CONDITION: una condizione CEL che fa riferimento a una risorsa di servizio supportata, ad esempio"resource.management.autoUpgrade == false". Questo campo ha un limite massimo di 1000 caratteri. Per informazioni dettagliate sull'utilizzo di CEL, consulta Common Expression Language.ACTION: l'azione da intraprendere se viene soddisfatto il criteriocondition. Può essereALLOWoDENY.DISPLAY_NAME: un nome semplice per di blocco. Questo campo ha una lunghezza massima di 200 caratteri.DESCRIPTION: una descrizione comprensibile del vincolo da visualizzare come messaggio di errore in caso di violazione del criterio. Questo campo ha una lunghezza massima di 2000 caratteri.
Dopo aver creato il file YAML per un nuovo vincolo personalizzato, devi configurarlo per renderlo disponibile per i criteri dell'organizzazione nella tua organizzazione. Per configurare un vincolo personalizzato, utilizza
il comando gcloud org-policies set-custom-constraint:
gcloud org-policies set-custom-constraint CONSTRAINT_PATH
CONSTRAINT_PATH con il percorso completo del
file delle limitazioni personalizzate. Ad esempio: /home/user/customconstraint.yaml.
Al termine, troverai i vincoli personalizzati come criteri dell'organizzazione disponibili
nel tuo elenco di criteri dell'organizzazione
di Google Cloud.
Per verificare che il vincolo personalizzato esista, utilizza il metodo
Comando gcloud org-policies list-custom-constraints:
gcloud org-policies list-custom-constraints --organization=ORGANIZATION_ID
ORGANIZATION_ID con l'ID della risorsa della tua organizzazione.
Per ulteriori informazioni, consulta
Visualizzare i criteri dell'organizzazione.Eliminare un vincolo personalizzato
Puoi eliminare una limitazione personalizzata utilizzando la console Google Cloud o gcloud CLI.
Console
Nella console Google Cloud, vai alla pagina Norme dell'organizzazione.
Seleziona il selettore di progetti nella parte superiore della pagina.
Dal selettore di progetti, seleziona la risorsa per cui vuoi eliminare il criterio dell'organizzazione.
Seleziona il vincolo che vuoi eliminare dall'elenco nella Criteri dell'organizzazione. Nella pagina Dettagli norme viene visualizzato un vincolo di rete.
Fai clic su Elimina.
Per confermare di voler eliminare la limitazione, fai clic su Elimina.
gcloud
Per eliminare una limitazione personalizzata, utilizza il comando org-policies delete-custom-constraint
gcloud CLI:
gcloud org-policies delete-custom-constraint custom.CONSTRAINT_NAME \
--organization=ORGANIZATION_ID
Sostituisci quanto segue:
ORGANIZATION_ID: l'ID della tua organizzazione, ad esempio123456789.CONSTRAINT_NAME: il nome del vincolo personalizzato. Ad esempio,custom.disableGkeAutoUpgrade
L'output è simile al seguente:
Deleted custom constraint [organizations/123456789/customConstraints/custom.disableGkeAutoUpgrade]
Se elimini un vincolo personalizzato, i criteri creati utilizzando quel vincolo continuano a esistere, ma vengono ignorati. Non puoi crearne un'altra vincolo personalizzato con lo stesso nome di un vincolo personalizzato eliminato.
Testare e analizzare le modifiche ai criteri dell'organizzazione
Ti consigliamo di testare ed eseguire il dry run di tutte le modifiche aziendali, per comprendere meglio lo stato dell'ambiente impatto delle modifiche.
Policy Simulator per i criteri dell'organizzazione consente di comprendere l'effetto di un un vincolo e un criterio dell'organizzazione nel tuo ambiente attuale. Con questo strumento, puoi rivedere tutte le configurazioni delle risorse per vedere dove si verificano le violazioni, prima in modo che venga applicata nell'ambiente di produzione. Per istruzioni dettagliate, vedi Testa le modifiche ai criteri dell'organizzazione con Policy Simulator.
Quando comprendi l'effetto attuale, puoi creare un criterio dell'organizzazione. in modalità dry run per comprendere l'impatto e le potenziali violazioni di un criterio nei prossimi 30 giorni. Un criterio dell'organizzazione in modalità dry run è un tipo criterio dell'organizzazione in cui le violazioni dei criteri vengono registrate, ma le azioni che violano le norme non vengono rifiutate. Puoi creare un criterio dell'organizzazione in modalità dry run da un vincolo personalizzato utilizzando la console Google Cloud oppure Google Cloud CLI. Per istruzioni dettagliate, consulta Creare un criterio dell'organizzazione in modalità di prova.
Applica un criterio dell'organizzazione personalizzato
Una volta configurato, un vincolo personalizzato funziona in modo identico vincoli booleani. Google Cloud controlla prima i vincoli personalizzati per valutare se la richiesta di un utente è consentita. Se uno dei criteri dell'organizzazione personalizzata nega la richiesta, questa viene rifiutata. Poi, Google Cloud verifica la presenza di criteri dell'organizzazione predefiniti applicati a quella risorsa.
Puoi applicare una limitazione booleana creando un criterio dell'organizzazione che vi fa riferimento e applicandolo a una risorsa Google Cloud.Console
Per applicare un vincolo booleano:
- Nella console Google Cloud, vai alla pagina Norme dell'organizzazione.
- Seleziona il selettore di progetti nella parte superiore della pagina.
- Dal selettore di progetti, scegli il progetto per il quale vuoi impostare criterio dell'organizzazione.
- Seleziona il vincolo dall'elenco nella pagina Criteri organizzazione. Dovrebbe essere visualizzata la pagina Dettagli norme relativa alla limitazione.
- Per configurare il criterio dell'organizzazione per questa risorsa, fai clic su Gestisci criterio.
- Nella pagina Modifica criterio, seleziona Sostituisci criterio della risorsa padre.
- Fai clic su Aggiungi una regola.
- In Applicazione, scegli se applicare questo criterio dell'organizzazione deve essere attivato o disattivato.
- Se vuoi, per applicare le condizioni del criterio dell'organizzazione a un tag, fai clic su Aggiungi condizione. Tieni presente che se aggiungi una regola condizionale a un criterio dell'organizzazione, devi aggiungere almeno una regola non condizionale, altrimenti il criterio non può essere salvato. Per maggiori dettagli, consulta Impostazione di un criterio dell'organizzazione con tag.
- Se si tratta di un vincolo personalizzato, puoi fare clic su Prova modifiche per simulare l'effetto di questo criterio dell'organizzazione. Per ulteriori informazioni, consulta Testare le modifiche ai criteri dell'organizzazione con Policy Simulator.
- Per completare e applicare il criterio dell'organizzazione, fai clic su Imposta criterio. Le norme Possono trascorrere fino a 15 minuti prima che le modifiche diventino effettive.
gcloud
Per creare un criterio dell'organizzazione che applichi un vincolo booleano, crea un criterio File YAML che fa riferimento al vincolo:
name: projects/PROJECT_ID/policies/CONSTRAINT_NAME spec: rules: - enforce: true
Sostituisci quanto segue:
-
PROJECT_ID: il progetto su cui vuoi applicare il vincolo. -
CONSTRAINT_NAME: il nome definito per il vincolo personalizzato. Per ad esempiocustom.disableGkeAutoUpgrade
Per applicare il criterio dell'organizzazione contenente il vincolo, esegui questo comando:
gcloud org-policies set-policy POLICY_PATH
Sostituisci POLICY_PATH con il percorso completo del criterio dell'organizzazione
YAML. L'applicazione del criterio potrebbe richiedere fino a 15 minuti.
Vincolo di esempio
Puoi definire vincoli personalizzati simili ai vincoli predefiniti forniti realizzati da Google. Un tipico file YAML di vincolo personalizzato ha il seguente aspetto:
name: organizations/1234567890123/customConstraints/custom.disableGkeAutoUpgrade
resourceTypes:
- container.googleapis.com/NodePool
methodTypes:
- CREATE
- UPDATE
condition: "resource.management.autoUpgrade == false"
actionType: ALLOW
displayName: Disable GKE auto upgrade
description: Only allow GKE NodePool resource to be created or updated if AutoUpgrade is not enabled where this custom constraint is enforced.
Common Expression Language
Il servizio Criteri dell'organizzazione utilizza il Common Expression Language (CEL) per valutare le condizioni dei vincoli personalizzati. Il linguaggio CEL è una piattaforma open source non Turing un linguaggio completo che implementa la semantica comune per la valutazione delle espressioni.
Ogni servizio che supporta i vincoli personalizzati rende disponibile un determinato insieme di risorse e i campi di queste risorse. I campi disponibili sono fortemente digitati e possono essere utilizzati direttamente come riferimento da vincoli personalizzati.
Puoi creare condizioni CEL che fanno riferimento ai campi delle risorse di servizio in base al tipo di campo. Il servizio Criteri dell'organizzazione supporta un sottoinsieme di tipi di dati CEL, espressioni e macro. Le sezioni seguenti elencano i tipi di dati disponibili e le espressioni e le macro più comuni che funzionano con esse.
Per maggiori dettagli sulle espressioni e le macro disponibili per ciascun servizio, vedi Servizi supportati da vincoli personalizzati.
L'esempio JSON seguente mostra ognuna delle potenziali tipi di campi a cui puoi fare riferimento usando vincoli personalizzati:
{
integerValue: 1
stringValue: "A text string"
booleanValue: true
nestedValue: {
nestedStringValue: "Another text string"
}
listValue: [foo, bar]
mapValue["costCenter"] == "123"
}
Per ogni espressione CEL, il vincolo personalizzato viene applicato quando la condizione
restituisce true. Puoi combinare espressioni con (&&) e/o (||)
per creare una query complessa. Quando crei il file YAML o JSON per il vincolo personalizzato, racchiudi la query completa tra virgolette doppie (").
Numero intero
I campi interi, come integerValue nell'esempio precedente, consentono di utilizzare gli operatori di confronto nelle condizioni. Ad esempio:
resource.integerValue == 1
resource.integerValue > 5
resource.integerValue < 10
Stringa
È possibile valutare campi stringa come stringValue nell'esempio precedente
utilizzando un valore letterale stringa, un'espressione regolare o un'espressione CEL. Ad esempio:
resource.stringValue == "abc"
// stringValue is exactly "abc".
resource.stringValue.matches("dev$")
// stringValue matches a regular expression, which specifies the string ends
// with the word "dev".
resource.stringValue.startsWith("startValue")
// stringValue starts with "startValue".
resource.stringValue.endsWith("endValue")
// stringValue ends with "endValue".
resource.stringValue.contains("fooBar")
// stringValue contains "fooBar".
I campi nidificati, come nestedStringValue nell'esempio precedente, devono essere
a cui viene fatto riferimento con il percorso completo. Ad esempio:
resource.nestedValue.nestedStringValue == "foo"
// nestedValue contains the object nestedStringValue, which has a value of "foo".
Booleano
I campi booleani, come booleanValue nell'esempio precedente, contengono un valore
che può essere true o false.
Elenco
È possibile valutare i campi dell'elenco, come listValue nell'esempio precedente
in base alle dimensioni e ai contenuti dell'elenco
e se un particolare elenco
esiste in qualsiasi punto dell'elenco.
Ad esempio:
resource.listValue.size() >= 1 && resource.listValue[0] == "bar"
// listValue has size greater than or equal to one, and the first element is "bar".
resource.listValue.exists(value, value == "foo")
// listValue has at least one element that is exactly "foo".
resource.listValue.all(value, value.contains("foo"))
// listValue is a list of values that are all exactly "foo".
Mappa
I campi mappa, come mapValue nell'esempio in alto, sono coppie chiave/valore
che possono essere valutate in base all'esistenza e al valore di particolari elementi.
Ad esempio:
has(resource.mapValue.foo) && resource.mapValue.foo == "bar"
// mapValue contains the key "foo", and that key has the value "bar".
Risolvere i problemi relativi agli errori CEL
Una condizione creata con espressioni non valide o tipi di corrispondenza non corrispondenti restituisce un errore quando tenti di configurare il vincolo personalizzato. Ad esempio, dato il seguente vincolo personalizzato non valido, che confronta una stringa con un intero:
name: organizations/1234567890123/customConstraints/custom.badConfig
resourceTypes:
- dataproc.googleapis.com/Cluster
methodTypes:
- CREATE
- UPDATE
condition: "resource.config.masterConfig.numInstances == 'mismatch'"
actionType: ALLOW
displayName: Number of instances is a string
description: Demonstrate that type mismatches cause an error.
Viene generato un errore se provi a configurare il vincolo utilizzando Google Cloud CLI:
ERROR: (gcloud.org-policies.set-custom-constraint) INVALID_ARGUMENT: Custom constraint condition [resource.config.masterConfig.numInstances == "mismatch"] is invalid. Error: ERROR: <input>:1:15: found no matching overload for '_==_' applied to '(int, string)' (candidates: (%A0, %A0))
| resource.config.masterConfig.numInstances == "mismatch"
| ..........................................^.
Nella console Google Cloud, gli errori di sintassi CEL non validi saranno segnalati con un Icona Errore. Evidenziazione di questa icona mostra una descrizione comando contenente ulteriori informazioni sull'errore di sintassi.
Il servizio Organization Policy compila e convalida le condizioni che crei, restituendo un errore se la condizione non è sintatticamente corretta. Tuttavia, ci sono alcune condizioni che si compilano, ma genera un errore quando Google Cloud tenta di per applicare i vincoli. Ad esempio, se configuri un vincolo con un che tenta di accedere a un indice elenco o a una chiave della mappa inesistente, il vincolo non riesce e restituisce un errore al momento dell'applicazione e blocca a qualsiasi tentativo di creare la risorsa.
Quando crei condizioni che dipendono da elementi di elenchi o mappe, ti consigliamo di iniziare la condizione con un controllo che garantisca che sia valida in tutti i casi. Ad esempio, controlla list.size() prima di fare riferimento a un determinato elemento dell'elenco o utilizza has() prima di fare riferimento a un elemento della mappa.
Servizi supportati
Ogni servizio definisce l'insieme di campi di vincoli personalizzati che possono essere utilizzati applicare criteri dell'organizzazione alle risorse di servizio. Per un elenco dei servizi che supportano i vincoli personalizzati, consulta Servizi supportati dai vincoli personalizzati.
Per saperne di più sulla configurazione di uno scanner dei criteri dell'organizzazione, consulta Risultati relativi alle vulnerabilità dei criteri dell'organizzazione.
Passaggi successivi
- Scopri di più sui vincoli.
- Scopri le opzioni aggiuntive che puoi utilizzare per personalizzare le norme.
- Scopri come impostare i criteri dell'organizzazione basati sui tag.
- Scopri come convalidare e monitorare i criteri dell'organizzazione con Config Validator.