Mengontrol akses dengan tag

Halaman ini menjelaskan cara menggunakan tag untuk mengelola resource di Cloud Data Fusion.

Tentang tag

Tag adalah pasangan nilai kunci yang dapat dilampirkan ke resource di Google Cloud. Anda dapat menggunakan tag untuk mengizinkan atau menolak kebijakan bersyarat berdasarkan apakah resource memiliki tag tertentu. Misalnya, Anda dapat memberikan peran Identity and Access Management (IAM) secara bersyarat berdasarkan apakah resource memiliki tag tertentu atau tidak. Untuk mengetahui informasi lebih lanjut tentang tag, lihat Ringkasan tag.

Tag dikaitkan ke resource dengan membuat resource binding tag yang menautkan nilai ke resource Google Cloud.

Sebelum memulai

Guna mendapatkan izin untuk kasus penggunaan berikut, minta administrator Anda untuk memberikan peran yang disarankan pada tingkat hierarki resource yang sesuai. Untuk mengetahui informasi selengkapnya tentang IAM di Cloud Data Fusion, lihat Kontrol akses dengan IAM.

Peran dan izin yang diperlukan

Untuk mendapatkan izin yang diperlukan agar dapat menggunakan tag untuk mengelola resource di Cloud Data Fusion, minta administrator Anda untuk memberi Anda peran IAM berikut di Akun Layanan Cloud Data Fusion, dan akun layanan default atau akun layanan kustom Compute Engine:

  • Untuk melihat definisi tag dan tag yang dilampirkan ke referensi: Tag Viewer (roles/resourcemanager.tagViewer)
  • Untuk membuat, memperbarui, dan menghapus definisi tag: Administrator Tag (roles/resourcemanager.tagAdmin)
  • Untuk mengelola tag di tingkat organisasi: Organization Viewer (roles/resourcemanager.organizationViewer) - di resource organisasi
  • Untuk menambahkan dan menghapus tag yang terlampir ke resource: Tag User (roles/resourcemanager.tagUser) - pada nilai tag dan resource tempat Anda menambahkan nilai tag
  • Untuk melampirkan tag ke instance Cloud Data Fusion: Admin Cloud Data Fusion (roles/datafusion.admin)

Untuk mengetahui informasi selengkapnya tentang pemberian peran, lihat Mengelola akses.

Peran bawaan ini berisi izin yang diperlukan untuk menggunakan tag guna mengelola resource di Cloud Data Fusion. Untuk melihat izin yang benar-benar diperlukan, perluas bagian Izin yang diperlukan:

Izin yang diperlukan

Izin berikut diperlukan agar dapat menggunakan tag untuk mengelola resource di Cloud Data Fusion:

  • resourcemanager.tagKeys.get
  • resourcemanager.tagKeys.list
  • resourcemanager.tagValues.get
  • resourcemanager.tagValues.list
  • listTagBindings untuk jenis resource yang sesuai. Misalnya, untuk melihat tag yang dilampirkan ke instance Cloud Data Fusion: datafusion.instances.listTagBindings
  • listEffectiveTags untuk jenis resource yang sesuai. Misalnya, untuk melihat semua tag yang dilampirkan ke atau diwarisi oleh instance Cloud Data Fusion: datafusion.instances.listEffectiveTags

Anda mung juga bisa mendapatkan izin ini dengan peran khusus atau peran bawaanlainnya.

Membuat kunci dan nilai tag

Sebelum dapat mengaitkan tag, Anda harus membuat tag dan mengonfigurasi nilainya. Untuk membuat kunci tag dan nilai tag, lihat artikel Membuat tag dan Menambahkan nilai tag.

Melampirkan tag ke resource

Setelah tag dibuat, lampirkan ke resource.

gcloud

Untuk melampirkan tag ke instance, Anda harus membuat resource binding tag dengan menggunakan perintah create:

gcloud resource-manager tags bindings create \
  --tag-value=TAGVALUE_NAME \
  --parent=RESOURCE_ID \
  --location=LOCATION

Ganti kode berikut:

  • TAGVALUE_NAME: ID permanen atau nama namespace dari nilai tag yang dilampirkan—misalnya, tagValues/567890123456.
  • RESOURCE_ID: ID lengkap resource, termasuk nama domain API, yang mengidentifikasi jenis resource (//datafusion.googleapis.com/). Misalnya, untuk melampirkan tag ke instance di projects/7890123456 yang berada di us-central1, gunakan ID resource berikut: //datafusion.googleapis.com/projects/7890123456/locations/us-central1/instances/instance-ID.
  • LOCATION: lokasi resource Anda. Contoh: us-central1.

Sebuah notifikasi akan mengonfirmasi bahwa tag Anda telah dibuat.

Mencantumkan tag yang dilampirkan ke resource

Anda dapat melihat daftar binding tag yang secara langsung dikaitkan ke atau diwarisi oleh resource.

gcloud

Untuk mendapatkan daftar binding tag yang dilampirkan ke resource, gunakan perintah list:

gcloud resource-manager tags bindings list \
  --parent=RESOURCE_ID \
  --location=LOCATION

Ganti kode berikut:

  • RESOURCE_ID: ID lengkap resource, termasuk nama domain API, yang mengidentifikasi jenis resource (//datafusion.googleapis.com/). Misalnya, untuk mencantumkan tag dalam instance di projects/7890123456 yang terletak di us-central1, gunakan ID resource berikut: //datafusion.googleapis.com/projects/7890123456/locations/us-central1/instances/instance-ID.
  • LOCATION: lokasi resource Anda. Contoh: us-central1.

Responsnya diberikan dalam bentuk berikut:

tagBindings/%2F%2Fcloudresourcemanager.googleapis.com%2Fprojects%2F7890123456/tagValues/567890123456
  tagValue: tagValues/567890123456
  resource: //datafusion.googleapis.com/projects/7890123456/locations/us-central1/instances/instance-ID

Melepaskan tag dari resource

Anda dapat melepaskan tag yang telah dilampirkan langsung ke resource. Tag yang diwarisi dapat diganti dengan melampirkan tag dengan kunci yang sama dan nilai yang berbeda, tetapi tag tersebut tidak dapat dilepas. Sebelum dapat menghapus tag, Anda harus melepaskan kunci dan nilainya dari setiap resource yang terkait.

gcloud

Untuk menghapus binding tag, gunakan perintah delete:

gcloud resource-manager tags bindings delete \
  --tag-value=TAGVALUE_NAME \
  --parent=RESOURCE_ID \
  --location=LOCATION

Ganti kode berikut:

  • TAGVALUE_NAME: ID permanen atau nama namespace dari nilai tag yang dilampirkan—misalnya, tagValues/567890123456.
  • RESOURCE_ID: ID lengkap resource, termasuk nama domain API, yang mengidentifikasi jenis resource (//datafusion.googleapis.com/). Misalnya, untuk melampirkan tag ke instance di projects/7890123456 yang berada di us-central1, gunakan ID resource berikut: //datafusion.googleapis.com/projects/7890123456/locations/us-central1/instances/instance-ID.
  • LOCATION: lokasi resource Anda. Contoh: us-central1.

Notifikasi mengonfirmasi bahwa tag Anda telah diperbarui.

Menghapus kunci dan nilai tag

Saat menghapus kunci tag atau definisi nilai, pastikan tag dilepas dari resource. Anda harus menghapus lampiran tag yang ada, yang disebut binding tag, sebelum menghapus definisi tag itu sendiri. Untuk menghapus kunci tag dan nilai tag, lihat Menghapus tag.

Kondisi dan tag Identity and Access Management

Anda dapat menggunakan tag dan kondisi IAM untuk memberikan binding peran bersyarat kepada pengguna dalam hierarki Anda. Mengubah atau menghapus tag yang dikaitkan ke resource dapat menghapus akses pengguna ke resource tersebut jika kebijakan IAM dengan binding peran bersyarat telah diterapkan. Untuk mengetahui informasi selengkapnya, lihat Kondisi dan tag Identity and Access Management.

Langkah selanjutnya