Restrinja repositórios remotos

Antes de começar

Antes de definir ou editar a política dataform.restrictGitRemotes, encontre os URLs completos dos repositórios Git remotos que quer adicionar à lista de autorizações.

Para encontrar o URL completo de um repositório Git remoto que já esteja ligado a um repositório do Dataform, siga estes passos:

1. Na Google Cloud consola, aceda à página Dataform.

   Aceder ao Dataform

2. Selecione um repositório e, de seguida, clique em Definições.

   Tenha em atenção que os URLs de repositórios remotos apresentados na página do Dataform são abreviados e não podem ser usados na política dataform.restrictGitRemotes.

3. Na página Definições, em Definições de ligação Git, copie o valor de Origem do repositório.

   O valor Origem do repositório é o URL completo do repositório remoto. Pode usar este URL na política dataform.restrictGitRemotes.

Funções necessárias

Para receber as autorizações de que precisa para gerir políticas da organização, peça ao seu administrador que lhe conceda a função de IAM de administrador da política da organização (roles/orgpolicy.policyAdmin) na organização. Para mais informações sobre a atribuição de funções, consulte o artigo Faça a gestão do acesso a projetos, pastas e organizações.

Esta função predefinida contém as autorizações necessárias para gerir políticas da organização. Para ver as autorizações exatas que são necessárias, expanda a secção Autorizações necessárias:

Também pode conseguir estas autorizações com funções personalizadas ou outras funções predefinidas.

Acerca da restrição de repositórios Git remotos

Pode associar um repositório do Dataform a um repositório do GitHub ou do GitLab.

Recomendamos que restrinja o conjunto de repositórios remotos aos quais os repositórios do Dataform podem estabelecer ligação para impedir que atores maliciosos acedam ao seu código base do Dataform e tokens de acesso através de cópias não protegidas do seu repositório.

Pode usar o serviço de políticas da organização para criar uma política da organização que restringe os URLs do repositório Git aos quais o Dataform se pode ligar.

A restrição para restringir repositórios Git remotos no Dataform é:

constraints/dataform.restrictGitRemotes

Para usar a restrição, crie uma política da organização com uma allowedValues lista de URLs de repositórios Git remotos que podem estabelecer ligação a um repositório do Dataform. Os repositórios Git remotos são identificados pelo respetivo endereço URL completo.

A política dataform.restrictGitRemotes tem um efeito retroativo, o que significa que a restrição afeta os repositórios do Dataform pré-existentes.

Quando a política da organização está em vigor, o repositório do Dataform só pode estabelecer ligação aos repositórios Git remotos que estão listados na lista allowedValues. Os repositórios Git remotos que não estão explicitamente definidos na política da organização estão proibidos de se ligarem a um repositório do Dataform.

Se não definir a política dataform.restrictGitRemotes, a comunicação entre os repositórios do Dataform e os repositórios Git remotos não é restrita.

Pode usar a dataform.restrictGitRemotes política das seguintes formas:

Allow all

Os repositórios do Dataform podem estabelecer ligação a todos os URLs de repositórios remotos. Selecione esta opção se a sua organização não quiser bloquear nenhuma comunicação com repositórios remotos. Em alternativa, para permitir todos os URLs de repositórios remotos, pode deixar a política da organização não definida.

allowedValues lista de URLs

Os repositórios do Dataform só podem estabelecer ligação aos repositórios remotos na lista de autorizações. Selecione esta opção para impedir a exfiltração de dados.

Deny all

Os repositórios do Dataform não podem estabelecer ligação a URLs remotos. Selecione esta opção se a sua organização quiser bloquear todas as comunicações e usar repositórios do Dataform.

Especificações para a inclusão na lista de autorizações de repositórios Git remotos

• Pode aplicar esta restrição de lista apenas a repositórios do GitHub e GitLab.

• A política da organização é aplicada retroativamente e afeta os repositórios do Dataform existentes.

• Esta restrição aceita allowedValues, bloqueando a ligação a todos os outros repositórios Git remotos, ou Deny all. A predefinição é Allow all. Uma política de organização não definida permite a comunicação com todos os repositórios Git remotos. Recomendamos que defina a política da organização como allowedValues.

• É da sua responsabilidade ou de um administrador com as autorizações necessárias gerir e manter a política. Certifique-se de que existe comunicação sobre o administrador de políticas na sua organização.

Defina a restrição da política da organização ao nível da organização

gcloud organizations list

DISPLAY_NAME               ID
example-organization1      29252605212
example-organization2      1234567890

{
  "name": "organizations/ORGANIZATION_ID/policies/dataform.restrictGitRemotes",
  "spec": {
    "rules": [
      {
        "values": {
          "allowedValues": ["https://github.com/example/allowed-repository.git"]
        }
      }
    ]
  }
}

{
  "name": "organizations/ORGANIZATION_ID/policies/dataform.restrictGitRemotes",
  "spec": {
    "rules": [
      {
        "denyAll": true
      }
    ]
  }
}

POST https://orgpolicy.googleapis.com/v2/organizations/ORGANIZATION_ID/policies

{
  "name": "organizations/ORGANIZATION_ID/policies/dataform.restrictGitRemotes",
  "spec": {
    "rules": [
      {
        "values": {
          "allowedValues": ["https://github.com/example/allowed-repository.git"]
        }
      }
    ]
  }
}

Replace <code><var>ORGANIZATION_ID</var></code> with the numeric ID
of the