Controlar el acceso con etiquetas

En esta página se describe cómo usar etiquetas para gestionar recursos en Cloud Data Fusion.

Puedes adjuntar etiquetas a las instancias de Cloud Data Fusion. Al añadir etiquetas, se proporcionan metadatos esenciales para los recursos, lo que ayuda a organizar, monitorizar los costes y aplicar políticas automáticamente.

Acerca de las etiquetas

Una etiqueta es un par clave-valor que puede asociar a un recurso de Google Cloud. Puede usar etiquetas para permitir o denegar políticas de forma condicional en función de si un recurso tiene una etiqueta específica. Por ejemplo, puedes conceder roles de Gestión de Identidades y Accesos (IAM) de forma condicional en función de si un recurso tiene una etiqueta específica. Para obtener más información sobre las etiquetas, consulte el artículo Descripción general de las etiquetas.

Las etiquetas se adjuntan a los recursos creando un recurso de vinculación de etiquetas que vincula el valor al recurso. Google Cloud

Antes de empezar

Para obtener permisos para los siguientes casos prácticos, pide a tu administrador que te conceda el rol sugerido en el nivel adecuado de la jerarquía de recursos. Para obtener más información sobre IAM en Cloud Data Fusion, consulta el artículo sobre el control de acceso con IAM.

Roles y permisos necesarios

Para obtener los permisos que necesitas para usar etiquetas y gestionar instancias en Cloud Data Fusion, pide a tu administrador que te conceda los siguientes roles de gestión de identidades y accesos (IAM) en la cuenta de servicio de Cloud Data Fusion y en la cuenta de servicio predeterminada o personalizada de Compute Engine:

  • Para ver las definiciones de las etiquetas y las etiquetas asociadas a las instancias, sigue estos pasos: Visor de etiquetas (roles/resourcemanager.tagViewer)
  • Para crear, actualizar y eliminar definiciones de etiquetas, haz lo siguiente: Administrador de etiquetas (roles/resourcemanager.tagAdmin)
  • Para administrar etiquetas a nivel de organización, sigue estos pasos: Visor de organización (roles/resourcemanager.organizationViewer): en el recurso de organización
  • Para añadir y quitar etiquetas asociadas a instancias, haz lo siguiente: Etiquetador (roles/resourcemanager.tagUser): tanto en el valor de la etiqueta como en los recursos a los que asocies el valor de la etiqueta
  • Para adjuntar etiquetas a instancias de Cloud Data Fusion, sigue estos pasos: Administrador de Cloud Data Fusion (roles/datafusion.admin)

Para obtener más información sobre cómo conceder roles, consulta el artículo Gestionar el acceso a proyectos, carpetas y organizaciones.

Estos roles predefinidos contienen los permisos necesarios para usar etiquetas y gestionar instancias en Cloud Data Fusion. Para ver los permisos exactos que se necesitan, despliega la sección Permisos necesarios:

Permisos obligatorios

Para usar etiquetas y gestionar instancias en Cloud Data Fusion, se necesitan los siguientes permisos:

  • resourcemanager.tagKeys.get
  • resourcemanager.tagKeys.list
  • resourcemanager.tagValues.get
  • resourcemanager.tagValues.list
  • listTagBindings del tipo de recurso correspondiente. Por ejemplo, para ver las etiquetas asociadas a las instancias de Cloud Data Fusion: datafusion.instances.listTagBindings
  • listEffectiveTags del tipo de recurso correspondiente. Por ejemplo, para ver todas las etiquetas asociadas o heredadas por las instancias de Cloud Data Fusion: datafusion.instances.listEffectiveTags

También puedes obtener estos permisos con roles personalizados u otros roles predefinidos.

Crear claves y valores de etiquetas

Para poder adjuntar una etiqueta, primero debes crearla y configurar su valor. Para crear claves y valores de etiqueta, consulte Crear una etiqueta y Añadir valores de etiqueta.

Asignar etiquetas a instancias de Cloud Data Fusion

Puedes adjuntar etiquetas a una instancia de Cloud Data Fusion tanto durante como después de crearla.

Adjuntar etiquetas durante la creación de la instancia

Puedes adjuntar etiquetas al crear una instancia de Cloud Data Fusion.

gcloud

Usa el comando gcloud beta data-fusion instances create con la marca --tags:

gcloud beta data-fusion instances create INSTANCE_ID \
    --tags=tagKeys/TAGKEY_ID=tagValues/TAGVALUE_ID

Se pueden añadir varias etiquetas a la vez.

Haz los cambios siguientes:

  • INSTANCE_ID: el nombre de tu instancia de Cloud Data Fusion.
  • TAGKEY_ID: el ID numérico de la clave de la etiqueta, sin espacio de nombres, por ejemplo, 123456789012.
  • TAGVALUE_ID: ID numérico permanente del valor de la etiqueta. Por ejemplo, 4567890123.

REST

Envía una solicitud POST a la siguiente URL:

POST https://datafusion.googleapis.com/v1/projects/PROJECT_ID/locations/LOCATION/instances?instanceID=INSTANCE_ID

Proporciona el siguiente JSON en el cuerpo de la solicitud:

{
    "tags": {
        "tagKeys/TAGKEY_ID": "tagValues/TAGVALUE_ID"
    }
    // Other fields omitted
}

Haz los cambios siguientes:

  • PROJECT_ID: el ID de tu proyecto.
  • INSTANCE_ID: el nombre de tu instancia de Cloud Data Fusion.
  • TAGKEY_ID: ID numérico de la clave de la etiqueta.
  • TAGVALUE_ID: ID numérico permanente del valor de la etiqueta. Por ejemplo, 4567890123.

Para obtener más información, consulta las referencias de las APIs v1 y v1beta1.

Puedes añadir varias etiquetas a la vez.

Adjuntar etiquetas después de crear la instancia

Puedes adjuntar etiquetas a una instancia de Cloud Data Fusion después de crearla.

gcloud

Para adjuntar una etiqueta a una instancia, debes crear un recurso de vinculación de etiquetas con el comando create:

gcloud resource-manager tags bindings create \
  --tag-value=TAGVALUE_NAME \
  --parent=RESOURCE_ID \
  --location=LOCATION

Haz los cambios siguientes:

  • TAGVALUE_NAME: el ID permanente o el nombre del espacio de nombres del valor de la etiqueta adjunta. Por ejemplo, tagValues/567890123456.
  • RESOURCE_ID: el ID completo del recurso, incluido el nombre de dominio de la API, que identifica el tipo de recurso (//datafusion.googleapis.com/). Por ejemplo, para adjuntar una etiqueta a una instancia de projects/7890123456 ubicada en us-central1, usa el siguiente ID de recurso: //datafusion.googleapis.com/projects/7890123456/locations/us-central1/instances/instance-ID.
  • LOCATION: la ubicación de tu recurso. Por ejemplo: us-central1.

Recibirás una notificación para confirmar que se han creado las etiquetas.

Esta acción no provoca que se reinicie la instancia.

Mostrar las etiquetas asociadas a una instancia

Puede ver una lista de enlaces de etiquetas adjuntos directamente a la instancia de Cloud Data Fusion o heredados por ella.

gcloud

Para obtener una lista de las vinculaciones de etiquetas asociadas a una instancia, usa el comando list:

gcloud resource-manager tags bindings list \
  --parent=RESOURCE_ID \
  --location=LOCATION

Haz los cambios siguientes:

  • RESOURCE_ID: el ID completo del recurso, incluido el nombre de dominio de la API, que identifica el tipo de recurso (//datafusion.googleapis.com/). Por ejemplo, para enumerar las etiquetas de una instancia de projects/7890123456 ubicada en us-central1, usa el siguiente ID de recurso: //datafusion.googleapis.com/projects/7890123456/locations/us-central1/instances/instance-ID.
  • LOCATION: la ubicación de tu recurso. Por ejemplo: us-central1.

La respuesta tiene el siguiente formato:

tagBindings/%2F%2Fcloudresourcemanager.googleapis.com%2Fprojects%2F7890123456/tagValues/567890123456
  tagValue: tagValues/567890123456
  resource: //datafusion.googleapis.com/projects/7890123456/locations/us-central1/instances/instance-ID

Desasociar etiquetas de una instancia

Puedes desvincular etiquetas que se hayan adjuntado directamente a una instancia de Cloud Data Fusion. Las etiquetas heredadas se pueden anular adjuntando una etiqueta con la misma clave y un valor diferente, pero no se pueden separar. Para poder eliminar una etiqueta, debes separar su clave y sus valores de todas las instancias a las que esté adjunta.

gcloud

Para eliminar un enlace de etiqueta, usa el comando delete:

gcloud resource-manager tags bindings delete \
  --tag-value=TAGVALUE_NAME \
  --parent=RESOURCE_ID \
  --location=LOCATION

Haz los cambios siguientes:

  • TAGVALUE_NAME: el ID permanente o el nombre del espacio de nombres del valor de la etiqueta adjunta. Por ejemplo, tagValues/567890123456.
  • RESOURCE_ID: el ID completo del recurso, incluido el nombre de dominio de la API, que identifica el tipo de recurso (//datafusion.googleapis.com/). Por ejemplo, para adjuntar una etiqueta a una instancia de projects/7890123456 ubicada en us-central1, usa el siguiente ID de recurso: //datafusion.googleapis.com/projects/7890123456/locations/us-central1/instances/instance-ID.
  • LOCATION: la ubicación de tu recurso. Por ejemplo: us-central1.

Recibirás una notificación para confirmar que se han actualizado las etiquetas.

Eliminar claves y valores de etiquetas

Cuando elimine una definición de clave o valor de etiqueta, asegúrese de que la etiqueta se haya desvinculado de la instancia. Debes eliminar los archivos adjuntos de etiquetas, denominados enlaces de etiquetas, antes de eliminar la definición de la etiqueta. Para eliminar claves y valores de etiquetas, consulta Eliminar etiquetas.

Condiciones y etiquetas de gestión de identidades y accesos

Puedes usar etiquetas y condiciones de gestión de identidades y accesos para conceder enlaces de roles de forma condicional a los usuarios de tu jerarquía. Si se cambia o se elimina la etiqueta asociada a una instancia, se puede retirar el acceso de los usuarios a esa instancia si se ha aplicado una política de gestión de identidades y accesos con enlaces de roles condicionales. Para obtener más información, consulta Condiciones y etiquetas de Gestión de Identidades y Accesos.

Siguientes pasos