Creazione e gestione di tag

Informazioni sui tag

Un tag è una coppia chiave-valore che può essere collegata a una risorsa all'interno di Google Cloud. Puoi utilizzare i tag per consentire o negare in modo condizionale i criteri a seconda che una risorsa abbia un tag specifico. Ad esempio, puoi concedere in modo condizionale i ruoli IAM (Identity and Access Management) a seconda che a una risorsa sia associato un tag specifico. Per saperne di più sui tag, consulta la Panoramica dei tag.

I tag vengono associati alle risorse creando una risorsa di associazione di tag che collega il valore alla risorsa Google Cloud.

Per raggruppare le istanze all'interno di Bigtable per l'automazione e la fatturazione, utilizza le etichette. I tag e le etichette funzionano in modo indipendente l'uno dall'altro e puoi applicare entrambi alle risorse.

Autorizzazioni obbligatorie

Le autorizzazioni necessarie dipendono dall'azione che devi eseguire.

Per ottenere queste autorizzazioni, chiedi all'amministratore di concedere il ruolo suggerito al livello appropriato della gerarchia delle risorse.

Visualizza tag

Per visualizzare le definizioni dei tag e i tag associati alle risorse, devi disporre del ruolo Visualizzatore tag (roles/resourcemanager.tagViewer) o di un altro ruolo che includa le seguenti autorizzazioni:

Autorizzazioni obbligatorie

  • resourcemanager.tagKeys.get
  • resourcemanager.tagKeys.list
  • resourcemanager.tagValues.list
  • resourcemanager.tagValues.get
  • listTagBindings per il tipo di risorsa appropriato. Ad esempio, compute.instances.listTagBindings per visualizzare i tag associati alle istanze di Compute Engine.
  • listEffectiveTags
    • per il tipo di risorsa appropriato. Ad esempio, compute.instances.listEffectiveTags per visualizzare tutti i tag associati o ereditati dalle istanze Compute Engine.

Per visualizzare i tag a livello di organizzazione, devi disporre del ruolo Visualizzatore organizzazione (roles/resourcemanager.organizationViewer) nella risorsa organizzazione.

Amministra i tag

Per creare, aggiornare ed eliminare le definizioni dei tag, devi disporre del ruolo Amministratore tag (roles/resourcemanager.tagAdmin) o di un altro ruolo che includa le seguenti autorizzazioni:

Autorizzazioni obbligatorie

  • resourcemanager.tagKeys.create
  • resourcemanager.tagKeys.update
  • resourcemanager.tagKeys.delete
  • resourcemanager.tagKeys.list
  • resourcemanager.tagKeys.get
  • resourcemanager.tagKeys.getIamPolicy
  • resourcemanager.tagKeys.setIamPolicy
  • resourcemanager.tagValues.create
  • resourcemanager.tagValues.update
  • resourcemanager.tagValues.delete
  • resourcemanager.tagValues.list
  • resourcemanager.tagValues.get
  • resourcemanager.tagValues.getIamPolicy
  • resourcemanager.tagValues.setIamPolicy

Per amministrare i tag a livello di organizzazione, devi disporre del ruolo Visualizzatore organizzazione (roles/resourcemanager.organizationViewer) nella risorsa organizzazione.

Gestire i tag sulle risorse

Per aggiungere e rimuovere i tag collegati alle risorse, devi disporre del ruolo Utente tag (roles/resourcemanager.tagUser) o di un altro ruolo con autorizzazioni equivalenti, sia per il valore tag sia per le risorse a cui stai collegando il valore tag. Il ruolo Utente tag include le seguenti autorizzazioni:

Autorizzazioni obbligatorie

  • Autorizzazioni richieste per la risorsa a cui colleghi il valore del tag
    • Autorizzazione createTagBinding specifica della risorsa, ad esempio compute.instances.createTagBinding per le istanze di Compute Engine.
    • Autorizzazione deleteTagBinding specifica della risorsa, ad esempio compute.instances.deleteTagBinding per le istanze di Compute Engine.
  • Autorizzazioni richieste per il valore tag:
    • resourcemanager.tagValueBindings.create
    • resourcemanager.tagValueBindings.delete
  • Autorizzazioni che ti consentono di visualizzare i progetti e le definizioni dei tag:
    • resourcemanager.tagValues.get
    • resourcemanager.tagValues.list
    • resourcemanager.tagKeys.get
    • resourcemanager.tagKeys.list
    • resourcemanager.projects.get

Per associare tag alle istanze Bigtable, devi disporre del ruolo Amministratore Bigtable (roles/bigtable.admin).

Creare chiavi e valori dei tag

Prima di poter associare un tag, devi crearne uno e configurarne il valore. Per creare chiavi e valori dei tag, consulta Creazione di un tag e Aggiunta di un valore del tag.

Collegamento di un tag a un'istanza

Dopo aver creato il tag, devi collegarlo a un'istanza.

gcloud

Per collegare un tag a un'istanza, devi creare una risorsa di associazione di tag utilizzando il comando gcloud resource-manager tags bindings create:

      gcloud resource-manager tags bindings create \
          --tag-value=TAGVALUE_NAME \
          --parent=RESOURCE_ID \
          --location=LOCATION

Sostituisci quanto segue:

  • TAGVALUE_NAME: l'ID permanente o il nome con spazio dei nomi del valore tag associato, ad esempio: tagValues/567890123456.
  • RESOURCE_ID è l'ID completo della risorsa, incluso il nome di dominio dell'API per identificare il tipo di risorsa (//bigtable.googleapis.com/). Ad esempio, per collegare un tag a un'istanza in projects/7890123456, l'ID completo è //bigtable.googleapis.com/projects/7890123456/instances/instance-ID.
  • LOCATION: la località della risorsa. Se colleghi un tag a una risorsa globale, ad esempio una cartella o un progetto, devi omettere questo flag. Se colleghi un tag a una risorsa a livello di regione o di zona, devi specificare la località, ad esempio us-central1 (regione) o us-central1-a (zona).

Elenca tag collegati a un'istanza

Puoi visualizzare un elenco di associazioni di tag direttamente collegate o ereditate dall'istanza.

gcloud

Per ottenere un elenco delle associazioni di tag associate a una risorsa, utilizza il comando gcloud resource-manager tags bindings list:

      gcloud resource-manager tags bindings list \
          --parent=RESOURCE_ID \
          --location=LOCATION

Sostituisci quanto segue:

  • RESOURCE_ID è l'ID completo della risorsa, incluso il nome di dominio dell'API per identificare il tipo di risorsa (//bigtable.googleapis.com/). Ad esempio, per collegare un tag a un'istanza in projects/7890123456, l'ID completo è //bigtable.googleapis.com/projects/7890123456/instances/instance-ID.
  • LOCATION: la località della risorsa. Se stai visualizzando un tag associato a una risorsa globale, come una cartella o un progetto, dovresti omettere questo flag. Se stai visualizzando un tag associato a una risorsa a livello di regione o di zona, devi specificare la località, ad esempio us-central1 (regione) o us-central1-a (zona).

Dovresti ricevere una risposta simile alla seguente:

name: tagBindings/%2F%2Fcloudresourcemanager.googleapis.com%2Fprojects%2F7890123456/tagValues/567890123456
          tagValue: tagValues/567890123456
          resource: //bigtable.googleapis.com/projects/7890123456/instances/instance-ID

Scollega i tag da un'istanza

Puoi scollegare i tag collegati direttamente a un'istanza. I tag ereditati possono essere sostituiti associando un tag con la stessa chiave e un valore diverso, ma non possono essere scollegati. Prima di poter eliminare un tag, devi scollegarne la chiave e i valori da ogni risorsa a cui è collegato.

gcloud

Per eliminare un'associazione di tag, utilizza il comando gcloud resource-manager tags bindings delete:

      gcloud resource-manager tags bindings delete \
          --tag-value=TAGVALUE_NAME \
          --parent=RESOURCE_ID \
          --location=LOCATION

Sostituisci quanto segue:

  • TAGVALUE_NAME: l'ID permanente o il nome con spazio dei nomi del valore tag associato, ad esempio: tagValues/567890123456.
  • RESOURCE_ID è l'ID completo della risorsa, incluso il nome di dominio dell'API per identificare il tipo di risorsa (//bigtable.googleapis.com/). Ad esempio, per collegare un tag a un'istanza in projects/7890123456, l'ID completo è //bigtable.googleapis.com/projects/7890123456/instances/instance-ID.
  • LOCATION: la località della risorsa. Se colleghi un tag a una risorsa globale, ad esempio una cartella o un progetto, devi omettere questo flag. Se colleghi un tag a una risorsa a livello di regione o di zona, devi specificare la località, ad esempio us-central1 (regione) o us-central1-a (zona).

Elimina chiavi e valori tag

Quando rimuovi una definizione di valore o chiave del tag, assicurati che il tag sia scollegato dall'istanza. Prima di eliminare la definizione del tag, devi eliminare gli allegati di tag esistenti, chiamati associazioni di tag. Per eliminare chiavi e valori dei tag, consulta la sezione Eliminazione dei tag.

Condizioni e tag di Identity and Access Management

Puoi utilizzare i tag e le condizioni IAM per concedere in modo condizionale le associazioni di ruoli agli utenti della gerarchia. La modifica o l'eliminazione del tag associato a una risorsa può comportare la rimozione dell'accesso utente alla risorsa se è stato applicato un criterio IAM con associazioni di ruoli condizionali. Per ulteriori informazioni, vedi Condizioni e tag di Identity and Access Management.

Passaggi successivi