Cette page vous explique comment utiliser les contraintes personnalisées du service de règles d'administration pour restreindre des opérations spécifiques sur les ressources Google Cloud suivantes :
datamigration.googleapis.com/ConnectionProfiledatamigration.googleapis.com/ConversionWorkspacedatamigration.googleapis.com/MigrationJobdatamigration.googleapis.com/PrivateConnection
Pour en savoir plus sur les règles d'administration, consultez Règles d'administration personnalisées.
À propos des règles et des contraintes d'administration
Le service de règles d'administration Google Cloud vous offre un contrôle centralisé et automatisé sur les ressources de votre organisation. En tant qu'administrateur des règles d'administration, vous pouvez définir des ensembles de restrictions appelées contraintes qui s'appliquent aux ressourcesGoogle Cloud et à leurs descendants dans la hiérarchie des ressourcesGoogle Cloud . Chaque ensemble de restrictions constitue une règle d'administration. Vous pouvez appliquer des règles d'administration au niveau d'une organisation, d'un dossier ou d'un projet.
Les règles d'administration fournissent des contraintes gérées intégrées pour divers services Google Cloud . Toutefois, si vous souhaitez exercer un contrôle plus précis et le personnaliser pour des champs spécifiques restreints dans vos règles d'administration, vous pouvez également créer des contraintes personnalisées et les utiliser dans une règle d'administration.
Héritage des règles
Par défaut, les règles d'administration sont héritées par les descendants des ressources sur lesquelles vous les appliquez. Par exemple, si vous appliquez une règle au niveau d'un dossier, Google Cloud l'applique à tous les projets du dossier. Pour mieux comprendre ce comportement et savoir comment le modifier, consultez Règles d'évaluation hiérarchique.
Avantages
Vous pouvez utiliser des règles d'administration personnalisées pour appliquer des règles de sécurité spécifiques à vos ressources Database Migration Service. Par exemple, vous pouvez limiter les types de jobs de migration, les types de moteurs pour les profils de connexion ou les réseaux utilisés pour les connexions privées. Ces règles et restrictions d'administration personnalisées permettent d'assurer la conformité et la gouvernance dans toute votre organisation.
Limites
- Les modifications apportées aux règles ne s'appliquent pas rétroactivement aux ressources Database Migration Service existantes.
- Une configuration de ressource existante reste valide même si elle comporte des valeurs non conformes, sauf si elle est mise à jour.
- L'évaluation des contraintes personnalisées peut ajouter une légère latence aux demandes de création et de mise à jour des ressources.
Avant de commencer
- Connectez-vous à votre compte Google Cloud . Si vous débutez sur Google Cloud, créez un compte pour évaluer les performances de nos produits en conditions réelles. Les nouveaux clients bénéficient également de 300 $ de crédits sans frais pour exécuter, tester et déployer des charges de travail.
-
In the Google Cloud console, on the project selector page, select or create a Google Cloud project.
Roles required to select or create a project
- Select a project: Selecting a project doesn't require a specific IAM role—you can select any project that you've been granted a role on.
-
Create a project: To create a project, you need the Project Creator role
(
roles/resourcemanager.projectCreator), which contains theresourcemanager.projects.createpermission. Learn how to grant roles.
-
Verify that billing is enabled for your Google Cloud project.
-
Installez la Google Cloud CLI.
-
Si vous utilisez un fournisseur d'identité (IdP) externe, vous devez d'abord vous connecter à la gcloud CLI avec votre identité fédérée.
-
Pour initialiser la gcloud CLI, exécutez la commande suivante :
gcloud init -
In the Google Cloud console, on the project selector page, select or create a Google Cloud project.
Roles required to select or create a project
- Select a project: Selecting a project doesn't require a specific IAM role—you can select any project that you've been granted a role on.
-
Create a project: To create a project, you need the Project Creator role
(
roles/resourcemanager.projectCreator), which contains theresourcemanager.projects.createpermission. Learn how to grant roles.
-
Verify that billing is enabled for your Google Cloud project.
-
Installez la Google Cloud CLI.
-
Si vous utilisez un fournisseur d'identité (IdP) externe, vous devez d'abord vous connecter à la gcloud CLI avec votre identité fédérée.
-
Pour initialiser la gcloud CLI, exécutez la commande suivante :
gcloud init - Assurez-vous de connaître votre ID d'organisation.
Rôles requis
Pour obtenir les autorisations nécessaires pour gérer des règles d'administration personnalisées, demandez à votre administrateur de vous accorder le rôle IAM Administrateur des règles d'administration (roles/orgpolicy.policyAdmin) dans la ressource d'organisation.
Pour en savoir plus sur l'attribution de rôles, consultez Gérer l'accès aux projets, aux dossiers et aux organisations.
Vous pouvez également obtenir les autorisations requises avec des rôles personnalisés ou d'autres rôles prédéfinis.
Ressources compatibles avec Database Migration Service
Le tableau suivant répertorie les ressources Database Migration Service que vous pouvez référencer dans les contraintes personnalisées.| Ressource | Champ |
|---|---|
| datamigration.googleapis.com/ConnectionProfile |
resource.alloydb.clusterId
|
resource.alloydb.settings.databaseVersion
| |
resource.alloydb.settings.encryptionConfig.kmsKeyName
| |
resource.alloydb.settings.initialUser.user
| |
resource.alloydb.settings.primaryInstanceSettings.databaseFlags
| |
resource.alloydb.settings.primaryInstanceSettings.instanceNetworkConfig.authorizedExternalNetworks.cidrRange
| |
resource.alloydb.settings.primaryInstanceSettings.instanceNetworkConfig.enableOutboundPublicIp
| |
resource.alloydb.settings.primaryInstanceSettings.instanceNetworkConfig.enablePublicIp
| |
resource.alloydb.settings.primaryInstanceSettings.machineConfig.cpuCount
| |
resource.alloydb.settings.primaryInstanceSettings.machineConfig.machineType
| |
resource.alloydb.settings.vpcNetwork
| |
resource.cloudsql.settings.activationPolicy
| |
resource.cloudsql.settings.autoStorageIncrease
| |
resource.cloudsql.settings.availabilityType
| |
resource.cloudsql.settings.cmekKeyName
| |
resource.cloudsql.settings.collation
| |
resource.cloudsql.settings.databaseFlags
| |
resource.cloudsql.settings.databaseVersion
| |
resource.cloudsql.settings.databaseVersionName
| |
resource.cloudsql.settings.dataCacheConfig.dataCacheEnabled
| |
resource.cloudsql.settings.dataDiskProvisionedIops
| |
resource.cloudsql.settings.dataDiskProvisionedThroughput
| |
resource.cloudsql.settings.dataDiskSizeGb
| |
resource.cloudsql.settings.dataDiskType
| |
resource.cloudsql.settings.edition
| |
resource.cloudsql.settings.ipConfig.allocatedIpRange
| |
resource.cloudsql.settings.ipConfig.authorizedNetworks.expireTime
| |
resource.cloudsql.settings.ipConfig.authorizedNetworks.label
| |
resource.cloudsql.settings.ipConfig.authorizedNetworks.ttl
| |
resource.cloudsql.settings.ipConfig.authorizedNetworks.value
| |
resource.cloudsql.settings.ipConfig.enableIpv4
| |
resource.cloudsql.settings.ipConfig.privateNetwork
| |
resource.cloudsql.settings.ipConfig.requireSsl
| |
resource.cloudsql.settings.secondaryZone
| |
resource.cloudsql.settings.sourceId
| |
resource.cloudsql.settings.storageAutoResizeLimit
| |
resource.cloudsql.settings.tier
| |
resource.cloudsql.settings.zone
| |
resource.displayName
| |
resource.mysql.cloudSqlId
| |
resource.mysql.host
| |
resource.mysql.port
| |
resource.mysql.ssl.sslFlags
| |
resource.mysql.ssl.type
| |
resource.mysql.username
| |
resource.name
| |
resource.oracle.forwardSshConnectivity.hostname
| |
resource.oracle.forwardSshConnectivity.port
| |
resource.oracle.forwardSshConnectivity.username
| |
resource.oracle.host
| |
resource.oracle.oracleAsmConfig.asmService
| |
resource.oracle.oracleAsmConfig.hostname
| |
resource.oracle.oracleAsmConfig.port
| |
resource.oracle.oracleAsmConfig.ssl.sslFlags
| |
resource.oracle.oracleAsmConfig.ssl.type
| |
resource.oracle.oracleAsmConfig.username
| |
resource.oracle.port
| |
resource.oracle.privateConnectivity.privateConnection
| |
resource.oracle.ssl.sslFlags
| |
resource.oracle.ssl.type
| |
resource.oracle.username
| |
resource.postgresql.alloydbClusterId
| |
resource.postgresql.cloudSqlId
| |
resource.postgresql.database
| |
resource.postgresql.host
| |
resource.postgresql.port
| |
resource.postgresql.privateServiceConnectConnectivity.serviceAttachment
| |
resource.postgresql.ssl.sslFlags
| |
resource.postgresql.ssl.type
| |
resource.postgresql.username
| |
resource.provider
| |
resource.role
| |
resource.sqlserver.backups.gcsBucket
| |
resource.sqlserver.backups.gcsPrefix
| |
resource.sqlserver.cloudSqlId
| |
resource.sqlserver.cloudSqlProjectId
| |
resource.sqlserver.database
| |
resource.sqlserver.dbmPort
| |
resource.sqlserver.forwardSshConnectivity.hostname
| |
resource.sqlserver.forwardSshConnectivity.port
| |
resource.sqlserver.forwardSshConnectivity.username
| |
resource.sqlserver.host
| |
resource.sqlserver.port
| |
resource.sqlserver.privateConnectivity.privateConnection
| |
resource.sqlserver.privateServiceConnectConnectivity.serviceAttachment
| |
resource.sqlserver.ssl.sslFlags
| |
resource.sqlserver.ssl.type
| |
resource.sqlserver.username
| |
resource.state
| |
| datamigration.googleapis.com/ConversionWorkspace |
resource.destination.engine
|
resource.destination.version
| |
resource.destinationProvider
| |
resource.displayName
| |
resource.globalSettings
| |
resource.name
| |
resource.source.engine
| |
resource.source.version
| |
resource.sourceProvider
| |
| datamigration.googleapis.com/MigrationJob |
resource.cmekKeyName
|
resource.conversionWorkspace.commitId
| |
resource.conversionWorkspace.name
| |
resource.destination
| |
resource.destinationDatabase.engine
| |
resource.destinationDatabase.provider
| |
resource.displayName
| |
resource.dumpFlags.dumpFlags.name
| |
resource.dumpFlags.dumpFlags.value
| |
resource.dumpPath
| |
resource.dumpType
| |
resource.filter
| |
resource.name
| |
resource.objectsConfig.sourceObjectsConfig.objectConfigs.objectIdentifier.database
| |
resource.objectsConfig.sourceObjectsConfig.objectConfigs.objectIdentifier.schema
| |
resource.objectsConfig.sourceObjectsConfig.objectConfigs.objectIdentifier.table
| |
resource.objectsConfig.sourceObjectsConfig.objectConfigs.objectIdentifier.type
| |
resource.objectsConfig.sourceObjectsConfig.objectsSelectionType
| |
resource.oracleToPostgresConfig.oracleSourceConfig.binaryLogParser.logFileDirectories.archivedLogDirectory
| |
resource.oracleToPostgresConfig.oracleSourceConfig.binaryLogParser.logFileDirectories.onlineLogDirectory
| |
resource.oracleToPostgresConfig.oracleSourceConfig.cdcStartPosition
| |
resource.oracleToPostgresConfig.oracleSourceConfig.maxConcurrentCdcConnections
| |
resource.oracleToPostgresConfig.oracleSourceConfig.maxConcurrentFullDumpConnections
| |
resource.oracleToPostgresConfig.oracleSourceConfig.skipFullDump
| |
resource.oracleToPostgresConfig.postgresDestinationConfig.maxConcurrentConnections
| |
resource.oracleToPostgresConfig.postgresDestinationConfig.transactionTimeout
| |
resource.performanceConfig.dumpParallelLevel
| |
resource.reverseSshConnectivity.vm
| |
resource.reverseSshConnectivity.vmIp
| |
resource.reverseSshConnectivity.vmPort
| |
resource.reverseSshConnectivity.vpc
| |
resource.source
| |
resource.sourceDatabase.engine
| |
resource.sourceDatabase.provider
| |
resource.sqlserverHomogeneousMigrationJobConfig.backupFilePattern
| |
resource.sqlserverHomogeneousMigrationJobConfig.dagConfig.linkedServer
| |
resource.sqlserverHomogeneousMigrationJobConfig.dagConfig.sourceAg
| |
resource.sqlserverHomogeneousMigrationJobConfig.databaseBackups.database
| |
resource.sqlserverHomogeneousMigrationJobConfig.databaseBackups.encryptionOptions.certPath
| |
resource.sqlserverHomogeneousMigrationJobConfig.promoteWhenReady
| |
resource.sqlserverHomogeneousMigrationJobConfig.useDiffBackup
| |
resource.sqlserverToPostgresConfig.postgresDestinationConfig.maxConcurrentConnections
| |
resource.sqlserverToPostgresConfig.postgresDestinationConfig.transactionTimeout
| |
resource.sqlserverToPostgresConfig.sqlserverSourceConfig.cdcStartPosition
| |
resource.sqlserverToPostgresConfig.sqlserverSourceConfig.maxConcurrentCdcConnections
| |
resource.sqlserverToPostgresConfig.sqlserverSourceConfig.maxConcurrentFullDumpConnections
| |
resource.sqlserverToPostgresConfig.sqlserverSourceConfig.skipFullDump
| |
resource.state
| |
resource.type
| |
resource.vpcPeeringConnectivity.vpc
| |
| datamigration.googleapis.com/PrivateConnection |
resource.displayName
|