Limiter les dépôts distants

Ce document explique comment utiliser le service de règles d'administration pour limiter le pool de dépôts Git distants tiers auxquels les dépôts Dataform peuvent se connecter.

Avant de commencer

Avant de définir ou de modifier la règle d'administration dataform.restrictGitRemotes, recherchez les URL complètes des dépôts Git distants que vous souhaitez ajouter à la liste d'autorisation.

Pour trouver l'URL complète d'un dépôt Git distant déjà associé à un dépôt Dataform, procédez comme suit :

1. Dans la console Google Cloud , accédez à la page Dataform.

   Accéder à Dataform

2. Sélectionnez un dépôt, puis cliquez sur Paramètres.

   N'oubliez pas que les URL des dépôts distants affichées sur la page Dataform sont raccourcies et ne peuvent pas être utilisées dans le règlement dataform.restrictGitRemotes.

3. Sur la page Paramètres, sous Paramètres de connexion Git, copiez la valeur Source du dépôt.

   La valeur Source du dépôt correspond à l'URL complète du dépôt distant. Vous pouvez utiliser cette URL dans la règle dataform.restrictGitRemotes.

Rôles requis

Pour obtenir les autorisations nécessaires pour gérer des règles d'administration, demandez à votre administrateur de vous accorder le rôle IAM Administrateur des règles d'administration (roles/orgpolicy.policyAdmin) dans l'organisation. Pour en savoir plus sur l'attribution de rôles, consultez Gérer l'accès aux projets, aux dossiers et aux organisations.

Ce rôle prédéfini contient les autorisations requises pour gérer les règles d'administration. Pour connaître les autorisations exactes requises, développez la section Autorisations requises :

Vous pouvez également obtenir ces autorisations avec des rôles personnalisés ou d'autres rôles prédéfinis.

À propos de la restriction des dépôts Git distants

Vous pouvez associer un dépôt Dataform à un dépôt GitHub ou GitLab.

Vous pouvez limiter le pool de dépôts distants auxquels les dépôts Dataform peuvent se connecter afin d'empêcher les acteurs malveillants d'accéder à votre code Dataform et à vos jetons d'accès via des copies non protégées de votre dépôt.

Vous pouvez créer une règle d'administration qui limite les URL de dépôt Git auxquelles Dataform peut se connecter.

La contrainte permettant de limiter les dépôts Git distants dans Dataform est la suivante :

constraints/dataform.restrictGitRemotes

Pour utiliser la contrainte, vous devez créer une règle d'administration de l'organisation avec une liste allowedValues d'URL de dépôts Git distants pouvant se connecter à un dépôt Dataform. Les dépôts Git distants sont identifiés par leur adresse URL complète.

La règle dataform.restrictGitRemotes a un effet rétroactif, ce qui signifie que la contrainte a un impact sur les dépôts Dataform préexistants.

Lorsque la règle d'administration est en place, le dépôt Dataform ne peut se connecter qu'aux dépôts Git distants listés dans la liste allowedValues. Les dépôts Git distants qui ne sont pas explicitement définis dans la règle d'administration ne peuvent pas se connecter à un dépôt Dataform.

Si vous ne définissez pas le paramètre dataform.restrictGitRemotes, la communication entre les dépôts Dataform et les dépôts Git distants n'est pas limitée.

Vous pouvez utiliser la règle dataform.restrictGitRemotes de plusieurs manières :

Allow all

Les dépôts Dataform sont autorisés à se connecter à toutes les URL de dépôt distant. Sélectionnez cette option si votre organisation ne souhaite bloquer aucune communication avec les dépôts distants.

Vous pouvez également laisser la règle d'organisation non définie pour autoriser toutes les URL de dépôt distant.

allowedValues liste d'URL

Les dépôts Dataform

ne peuvent se connecter qu'aux dépôts distants figurant sur la liste d'autorisation. Sélectionnez cette option pour empêcher l'exfiltration de données.

Deny all

Les dépôts Dataform ne sont pas autorisés à se connecter à des URL distantes. Sélectionnez cette option si votre organisation souhaite bloquer toute communication et utiliser des dépôts Dataform.

Spécifications pour ajouter des dépôts Git distants à la liste d'autorisation

• Vous ne pouvez appliquer cette contrainte de liste qu'aux dépôts GitHub et GitLab.

• La règle d'administration est appliquée rétroactivement et affecte les dépôts Dataform existants.

• Cette contrainte accepte allowedValues, ce qui bloque la connexion à tous les autres dépôts Git distants, ou Deny all. La valeur par défaut est Allow all. Une règle d'organisation non définie autorise la communication avec tous les dépôts Git distants. Nous vous recommandons de définir la règle d'administration sur allowedValues.

• C'est à vous ou à un administrateur disposant des autorisations nécessaires de gérer et d'administrer la règle. Assurez-vous que les informations sur l'administrateur des règles sont communiquées au sein de votre organisation.

Définir la contrainte de règle d'administration au niveau de l'organisation

gcloud organizations list

DISPLAY_NAME               ID
example-organization1      29252605212
example-organization2      1234567890

{
  "name": "organizations/ORGANIZATION_ID/policies/dataform.restrictGitRemotes",
  "spec": {
    "rules": [
      {
        "values": {
          "allowedValues": ["https://github.com/example/allowed-repository.git"]
        }
      }
    ]
  }
}

{
  "name": "organizations/ORGANIZATION_ID/policies/dataform.restrictGitRemotes",
  "spec": {
    "rules": [
      {
        "denyAll": true
      }
    ]
  }
}

POST https://orgpolicy.googleapis.com/v2/organizations/ORGANIZATION_ID/policies

{
  "name": "organizations/ORGANIZATION_ID/policies/dataform.restrictGitRemotes",
  "spec": {
    "rules": [
      {
        "values": {
          "allowedValues": ["https://github.com/example/allowed-repository.git"]
        }
      }
    ]
  }
}

Replace <code><var>ORGANIZATION_ID</var></code> with the numeric ID
of the organization.

{
  "name": "organizations/ORGANIZATION_ID/policies/dataform.restrictGitRemotes",
  "spec": {
    "rules": [
      {
        "denyAll": true
      }
    ]
  }
}
 

Replace <code><var>ORGANIZATION_ID</var></code> with the numeric ID
of the organization.

PATCH https://orgpolicy.googleapis.com/v2/organizations/ORGANIZATION_ID/policies/dataform.restrictGitRemotes

Définir la règle d'administration au niveau du projet

Une règle d'administration définie au niveau du projet remplace ou fusionne avec la règle d'administration définie au niveau de l'organisation. En cas de fusion, denyAll est prioritaire sur allowedValues. Par exemple, si la règle d'administration au niveau de l'organisation est définie sur denyAll et que la règle fusionnée au niveau du projet liste une URL de dépôt distant dans la liste allowedValues, Dataform n'est pas autorisé à se connecter au dépôt distant. Dans ce cas, la règle d'administration au niveau du projet doit remplacer celle au niveau de l'organisation afin que Dataform puisse se connecter au dépôt distant. Pour en savoir plus sur la hiérarchie des règles d'administration, consultez Comprendre le processus d'évaluation hiérarchique.