Implementando Restrições de Política de Organização do GCP

Visão Geral

O Serviço de Política de Organização do GCP oferece controle centralizado e programático sobre recursos na nuvem. As políticas de organização configuram restrições que limitam um ou mais serviços do Google Cloud, aplicadas nos níveis de organização, pasta ou projeto. Elas melhoram a segurança bloqueando IPs externos, exigindo criptografia e minimizando o acesso não autorizado. As alterações podem levar até 15 minutos para serem propagadas.

Quando Usar

• Ao implantar ou configurar recursos de política de organização do GCP em seu ambiente
• Ao estabelecer controles de segurança alinhados a requisitos de conformidade
• Ao construir ou melhorar a arquitetura de segurança para este domínio
• Ao realizar avaliações de segurança que exigem esta implementação

Pré-requisitos

• Organização GCP com a função de Administrador da Organização
• CLI gcloud configurada e autenticada
• Terraform ou gcloud para gerenciamento de políticas
• Função IAM de Administrador de Política de Organização (roles/orgpolicy.policyAdmin)

Conceitos Principais

Tipos de Restrição

1. Restrições de Lista: Permitem ou negam valores específicos (por exemplo, regiões permitidas)
2. Restrições Booleanas: Habilitam ou desabilitam uma capacidade (por exemplo, desabilitar acesso à porta serial)
3. Restrições Personalizadas: Regras definidas pelo usuário que visam campos de recursos específicos (Preview)

Herança de Política

As políticas são herdadas do ancestral mais baixo com uma política aplicada. Se nenhum ancestral tiver uma política, o comportamento padrão gerenciado pelo Google se aplica.

Restrições Essenciais de Segurança

Restringir Endereços IP Externos de VMs

# Deny external IP addresses on all VMs
gcloud resource-manager org-policies set-policy \
  --organization=ORGANIZATION_ID \
  policy.yaml

policy.yaml:

constraint: constraints/compute.vmExternalIpAccess
listPolicy:
  allValues: DENY

Restringir Locais de Recursos

gcloud org-policies set-policy \
  --organization=ORGANIZATION_ID \
  location-policy.yaml

location-policy.yaml:

constraint: constraints/gcp.resourceLocations
listPolicy:
  allowedValues:
    - "in:us-locations"
    - "in:eu-locations"

Desabilitar Criação de Conta de Serviço Padrão

constraint: constraints/iam.automaticIamGrantsForDefaultServiceAccounts
booleanPolicy:
  enforced: true

Exigir Login de SO para SSH

constraint: constraints/compute.requireOsLogin
booleanPolicy:
  enforced: true

Desabilitar Acesso à Porta Serial

constraint: constraints/compute.disableSerialPortAccess
booleanPolicy:
  enforced: true

Forçar Acesso Uniforme de Bucket em Nível de Bucket

constraint: constraints/storage.uniformBucketLevelAccess
booleanPolicy:
  enforced: true

Restringir IP Público no Cloud SQL

constraint: constraints/sql.restrictPublicIp
booleanPolicy:
  enforced: true

Desabilitar Criação de Chave de Conta de Serviço

constraint: constraints/iam.disableServiceAccountKeyCreation
booleanPolicy:
  enforced: true

Implementação com Terraform

resource "google_organization_policy" "restrict_vm_external_ip" {
  org_id     = var.org_id
  constraint = "constraints/compute.vmExternalIpAccess"

  list_policy {
    deny {
      all = true
    }
  }
}

resource "google_organization_policy" "restrict_locations" {
  org_id     = var.org_id
  constraint = "constraints/gcp.resourceLocations"

  list_policy {
    allow {
      values = ["in:us-locations", "in:eu-locations"]
    }
  }
}

resource "google_organization_policy" "require_os_login" {
  org_id     = var.org_id
  constraint = "constraints/compute.requireOsLogin"

  boolean_policy {
    enforced = true
  }
}

resource "google_folder_organization_policy" "dev_folder_external_ip" {
  folder     = google_folder.dev.name
  constraint = "constraints/compute.vmExternalIpAccess"

  list_policy {
    allow {
      values = ["projects/dev-project/zones/us-central1-a/instances/bastion-host"]
    }
  }
}

Teste de Simulação (Dry-Run)

Use as ferramentas do Policy Intelligence para testar alterações antes da aplicação:

# Create a dry-run policy to monitor impact
gcloud org-policies set-policy \
  --organization=ORGANIZATION_ID \
  dry-run-policy.yaml

dry-run-policy.yaml:

constraint: constraints/compute.vmExternalIpAccess
listPolicy:
  allValues: DENY
dryRunSpec: true

# Check violations against dry-run policy
gcloud org-policies list-custom-constraints \
  --organization=ORGANIZATION_ID

Restrições Personalizadas

# custom-constraint.yaml

…