Mengontrol akses dengan tag

Halaman ini menjelaskan cara menggunakan tag untuk mengelola resource di Cloud Data Fusion.

Tentang tag

Tag adalah pasangan nilai kunci yang dapat dilampirkan ke resource di Google Cloud. Anda dapat menggunakan tag untuk mengizinkan atau menolak kebijakan bersyarat berdasarkan apakah resource memiliki tag tertentu. Misalnya, Anda dapat memberikan peran Identity and Access Management (IAM) secara bersyarat berdasarkan apakah resource memiliki tag tertentu atau tidak. Untuk mengetahui informasi lebih lanjut tentang tag, lihat Ringkasan tag.

Tag dikaitkan ke resource dengan membuat resource binding tag yang menautkan nilai ke resource Google Cloud.

Sebelum memulai

Guna mendapatkan izin untuk kasus penggunaan berikut, minta administrator untuk memberikan izin peran yang disarankan, di level hierarki resource yang sesuai. Sebagai informasi selengkapnya tentang IAM di Cloud Data Fusion, lihat Kontrol akses dengan IAM.

Peran dan izin yang diperlukan

Guna mendapatkan izin yang diperlukan untuk menggunakan tag guna mengelola resource di Cloud Data Fusion, minta administrator untuk memberi Anda peran IAM berikut di Akun Layanan Cloud Data Fusion, dan akun layanan default Compute Engine atau akun layanan khusus:

  • Untuk melihat definisi dan tag tag yang dilampirkan ke resource: Penampil Tag (roles/resourcemanager.tagViewer)
  • Untuk membuat, memperbarui, dan menghapus definisi tag: Administrator Tag (roles/resourcemanager.tagAdmin)
  • Untuk mengelola tag di tingkat organisasi: Organization Viewer (roles/resourcemanager.organizationViewer) - di resource organisasi
  • Untuk menambahkan dan menghapus tag yang terkait dengan resource: Pengguna Tag (roles/resourcemanager.tagUser) - pada nilai tag dan resource tempat Anda diberi nilai tag
  • Untuk melampirkan tag ke instance Cloud Data Fusion: Admin Cloud Data Fusion (roles/datafusion.admin)

Untuk mengetahui informasi selengkapnya tentang cara memberikan peran, lihat Mengelola akses ke project, folder, dan organisasi.

Peran bawaan ini berisi izin yang diperlukan untuk menggunakan tag guna mengelola resource di Cloud Data Fusion. Untuk melihat izin yang benar-benar diperlukan, luaskan bagian Izin yang diperlukan:

Izin yang diperlukan

Izin berikut diperlukan agar dapat menggunakan tag untuk mengelola resource di Cloud Data Fusion:

  • resourcemanager.tagKeys.get
  • resourcemanager.tagKeys.list
  • resourcemanager.tagValues.get
  • resourcemanager.tagValues.list
  • listTagBindings untuk jenis resource yang sesuai. Misalnya, untuk melihat tag yang dilampirkan ke instance Cloud Data Fusion: datafusion.instances.listTagBindings
  • listEffectiveTags untuk jenis resource yang sesuai. Misalnya, untuk melihat semua tag yang dilampirkan atau diwarisi oleh instance Cloud Data Fusion: datafusion.instances.listEffectiveTags

Anda mungkin juga bisa mendapatkan izin ini dengan peran khusus atau peran bawaan lainnya.

Membuat kunci dan nilai tag

Sebelum dapat mengaitkan tag, Anda harus membuat tag dan mengonfigurasi nilainya. Untuk membuat kunci tag dan nilai tag, lihat Membuat tag dan Tambahkan nilai tag.

Melampirkan tag ke resource

Setelah tag dibuat, lampirkan ke resource.

gcloud

Untuk melampirkan tag ke instance, Anda harus membuat resource binding tag dengan menggunakan perintah create:

gcloud resource-manager tags bindings create \
  --tag-value=TAGVALUE_NAME \
  --parent=RESOURCE_ID \
  --location=LOCATION

Ganti kode berikut:

  • TAGVALUE_NAME: permanen ID atau nama namespace nilai tag yang terlampir, misalnya, tagValues/567890123456.
  • RESOURCE_ID: ID lengkap dari resource, termasuk nama domain API, yang mengidentifikasi jenis resource (//datafusion.googleapis.com/). Misalnya, untuk melampirkan tag ke elemen instance di projects/7890123456 yang berada di us-central1, gunakan ID resource berikut: //datafusion.googleapis.com/projects/7890123456/locations/us-central1/instances/instance-ID.
  • LOCATION: lokasi resource Anda Contoh: us-central1.

Notifikasi akan mengonfirmasi bahwa tag Anda telah dibuat.

Mencantumkan tag yang dilampirkan ke resource

Anda dapat melihat daftar binding tag yang langsung dilampirkan atau diwarisi oleh resource Anda

gcloud

Untuk mendapatkan daftar binding tag yang terpasang ke suatu resource, gunakan perintah list:

gcloud resource-manager tags bindings list \
  --parent=RESOURCE_ID \
  --location=LOCATION

Ganti kode berikut:

  • RESOURCE_ID: ID lengkap dari resource, termasuk nama domain API, yang mengidentifikasi jenis resource (//datafusion.googleapis.com/). Misalnya, untuk mencantumkan tag di kolom instance di projects/7890123456 yang berada di us-central1, gunakan ID resource berikut: //datafusion.googleapis.com/projects/7890123456/locations/us-central1/instances/instance-ID.
  • LOCATION: lokasi resource Anda Contoh: us-central1.

Responsnya diberikan dalam bentuk berikut:

tagBindings/%2F%2Fcloudresourcemanager.googleapis.com%2Fprojects%2F7890123456/tagValues/567890123456
  tagValue: tagValues/567890123456
  resource: //datafusion.googleapis.com/projects/7890123456/locations/us-central1/instances/instance-ID

Melepaskan tag dari resource

Anda dapat melepaskan tag yang telah dilampirkan langsung ke resource. Diwariskan tag dapat diganti dengan melampirkan tag dengan kunci yang sama tetapi tidak dapat dilepas. Sebelum dapat menghapus tag, Anda harus melepaskan kunci dan nilainya dari setiap sumber daya tempatnya dilampirkan.

gcloud

Untuk menghapus binding tag, gunakan perintah delete:

gcloud resource-manager tags bindings delete \
  --tag-value=TAGVALUE_NAME \
  --parent=RESOURCE_ID \
  --location=LOCATION

Ganti kode berikut:

  • TAGVALUE_NAME: permanen ID atau nama namespace nilai tag yang terlampir, misalnya, tagValues/567890123456.
  • RESOURCE_ID: ID lengkap dari resource, termasuk nama domain API, yang mengidentifikasi jenis resource (//datafusion.googleapis.com/). Misalnya, untuk melampirkan tag ke elemen instance di projects/7890123456 yang berada di us-central1, gunakan ID resource berikut: //datafusion.googleapis.com/projects/7890123456/locations/us-central1/instances/instance-ID.
  • LOCATION: lokasi resource Anda Contoh: us-central1.

Notifikasi akan mengonfirmasi bahwa tag Anda telah diperbarui.

Menghapus kunci dan nilai tag

Saat menghapus definisi nilai atau kunci tag, pastikan tag dilepas dari resource. Anda harus menghapus lampiran tag yang ada, yang disebut binding tag, sebelum menghapus definisi tag itu sendiri. Untuk menghapus kunci tag dan nilai tag, lihat Menghapus tag.

Kondisi dan tag Identity and Access Management

Anda dapat menggunakan tag dan kondisi IAM untuk memberikan binding peran bersyarat kepada pengguna dalam hierarki Anda. Mengubah atau menghapus tag yang dikaitkan ke resource dapat menghapus akses pengguna ke resource tersebut jika kebijakan IAM dengan binding peran bersyarat telah diterapkan. Untuk mengetahui informasi selengkapnya, lihat Kondisi dan tag Identity and Access Management.

Langkah berikutnya