Controle o acesso com etiquetas

Esta página descreve como usar etiquetas para gerir recursos no Cloud Data Fusion.

Pode anexar etiquetas a instâncias do Cloud Data Fusion. A adição de etiquetas fornece metadados essenciais para os seus recursos e ajuda na organização, na monitorização de custos e na aplicação automática de políticas.

Acerca das etiquetas

Uma etiqueta é um par de chave-valor que pode anexar a um recurso no âmbito do Google Cloud. Pode usar etiquetas para permitir ou negar condicionalmente políticas com base no facto de um recurso ter uma etiqueta específica. Por exemplo, pode conceder condicionalmente funções de gestão de identidade e de acesso (IAM) com base no facto de um recurso ter uma etiqueta específica. Para mais informações sobre etiquetas, consulte o artigo Vista geral das etiquetas.

As etiquetas são anexadas aos recursos através da criação de um recurso de associação de etiquetas que associa o valor ao recurso Google Cloud .

Antes de começar

Para receber autorizações para os seguintes exemplos de utilização, peça ao seu administrador para conceder a função sugerida no nível adequado da hierarquia de recursos. Para mais informações sobre a IAM no Cloud Data Fusion, consulte o artigo Controlo de acesso com a IAM.

Funções e autorizações necessárias

Para receber as autorizações de que precisa para usar etiquetas para gerir instâncias no Cloud Data Fusion, peça ao seu administrador que lhe conceda as seguintes funções do IAM na conta de serviço do Cloud Data Fusion e na conta de serviço predefinida do Compute Engine ou na conta de serviço personalizada:

  • Para ver definições de etiquetas e etiquetas anexadas a instâncias: Visualizador de etiquetas (roles/resourcemanager.tagViewer)
  • Para criar, atualizar e eliminar definições de etiquetas: Administrador de etiquetas (roles/resourcemanager.tagAdmin)
  • Para administrar etiquetas ao nível da organização: Visitante da organização (roles/resourcemanager.organizationViewer) – no recurso da organização
  • Para adicionar e remover etiquetas anexadas a instâncias: Etiquetar utilizador (roles/resourcemanager.tagUser): no valor da etiqueta e nos recursos aos quais anexa o valor da etiqueta
  • Para anexar etiquetas a instâncias do Cloud Data Fusion: Administrador do Cloud Data Fusion (roles/datafusion.admin)

Para mais informações sobre a atribuição de funções, consulte o artigo Faça a gestão do acesso a projetos, pastas e organizações.

Estas funções predefinidas contêm as autorizações necessárias para usar etiquetas para gerir instâncias no Cloud Data Fusion. Para ver as autorizações exatas que são necessárias, expanda a secção Autorizações necessárias:

Autorizações necessárias

São necessárias as seguintes autorizações para usar etiquetas para gerir instâncias no Cloud Data Fusion:

  • resourcemanager.tagKeys.get
  • resourcemanager.tagKeys.list
  • resourcemanager.tagValues.get
  • resourcemanager.tagValues.list
  • listTagBindings para o tipo de recurso adequado. Por exemplo, para ver as etiquetas anexadas a instâncias do Cloud Data Fusion: datafusion.instances.listTagBindings
  • listEffectiveTags para o tipo de recurso adequado. Por exemplo, para ver todas as etiquetas anexadas ou herdadas por instâncias do Cloud Data Fusion: datafusion.instances.listEffectiveTags

Também pode conseguir estas autorizações com funções personalizadas ou outras funções predefinidas.

Crie chaves e valores de etiquetas

Antes de poder anexar uma etiqueta, tem de criar uma etiqueta e configurar o respetivo valor. Para criar chaves de etiquetas e valores de etiquetas, consulte os artigos Crie uma etiqueta e Adicione valores de etiquetas.

Anexe etiquetas a instâncias do Cloud Data Fusion

Pode anexar etiquetas a uma instância do Cloud Data Fusion durante e após a criação da instância.

Anexe etiquetas durante a criação da instância

Pode anexar etiquetas quando cria uma instância do Cloud Data Fusion.

gcloud

Use o comando gcloud beta data-fusion instances create com a flag --tags:

gcloud beta data-fusion instances create INSTANCE_ID \
    --tags=tagKeys/TAGKEY_ID=tagValues/TAGVALUE_ID

Podem ser adicionadas várias etiquetas em simultâneo.

Substitua o seguinte:

  • INSTANCE_ID: o nome da sua instância do Cloud Data Fusion.
  • TAGKEY_ID: o ID numérico da chave da etiqueta, sem um espaço de nomes, por exemplo, 123456789012.
  • TAGVALUE_ID: o ID numérico permanente do valor da etiqueta. Por exemplo, 4567890123.

REST

Envie um pedido POST para o seguinte URL:

POST https://datafusion.googleapis.com/v1/projects/PROJECT_ID/locations/LOCATION/instances?instanceID=INSTANCE_ID

Forneça o seguinte JSON no corpo do pedido:

{
    "tags": {
        "tagKeys/TAGKEY_ID": "tagValues/TAGVALUE_ID"
    }
    // Other fields omitted
}

Substitua o seguinte:

  • PROJECT_ID: o ID do seu projeto.
  • INSTANCE_ID: o nome da sua instância do Cloud Data Fusion.
  • TAGKEY_ID: o ID numérico da chave da etiqueta.
  • TAGVALUE_ID: o ID numérico permanente do valor da etiqueta. Por exemplo, 4567890123.

Para mais informações, consulte as referências da API v1 e v1beta1.

Pode adicionar várias etiquetas em simultâneo.

Anexe etiquetas após criar a instância

Pode anexar etiquetas a uma instância do Cloud Data Fusion depois de criar a instância.

gcloud

Para anexar uma etiqueta a uma instância, tem de criar um recurso de associação de etiquetas com o comando create:

gcloud resource-manager tags bindings create \
  --tag-value=TAGVALUE_NAME \
  --parent=RESOURCE_ID \
  --location=LOCATION

Substitua o seguinte:

  • TAGVALUE_NAME: o ID permanente ou o nome do espaço de nomes do valor da etiqueta anexado, por exemplo, tagValues/567890123456.
  • RESOURCE_ID: o ID completo do recurso, incluindo o nome do domínio da API, que identifica o tipo de recurso (//datafusion.googleapis.com/). Por exemplo, para anexar uma etiqueta a uma instância em projects/7890123456 localizada em us-central1, use o seguinte ID do recurso: //datafusion.googleapis.com/projects/7890123456/locations/us-central1/instances/instance-ID.
  • LOCATION: a localização do seu recurso. Por exemplo: us-central1.

Uma notificação confirma que as etiquetas foram criadas.

Esta ação não provoca o reinício de uma instância.

Apresente as etiquetas anexadas a uma instância

Pode ver uma lista de associações de etiquetas diretamente anexadas ou herdadas pela instância do Cloud Data Fusion.

gcloud

Para obter uma lista de associações de etiquetas anexadas a uma instância, use o comando list:

gcloud resource-manager tags bindings list \
  --parent=RESOURCE_ID \
  --location=LOCATION

Substitua o seguinte:

  • RESOURCE_ID: o ID completo do recurso, incluindo o nome do domínio da API, que identifica o tipo de recurso (//datafusion.googleapis.com/). Por exemplo, para listar etiquetas numa instância em projects/7890123456 localizada em us-central1, use o seguinte ID do recurso: //datafusion.googleapis.com/projects/7890123456/locations/us-central1/instances/instance-ID.
  • LOCATION: a localização do seu recurso. Por exemplo: us-central1.

A resposta é apresentada no seguinte formato:

tagBindings/%2F%2Fcloudresourcemanager.googleapis.com%2Fprojects%2F7890123456/tagValues/567890123456
  tagValue: tagValues/567890123456
  resource: //datafusion.googleapis.com/projects/7890123456/locations/us-central1/instances/instance-ID

Desassocie etiquetas de uma instância

Pode desanexar etiquetas que tenham sido anexadas diretamente a uma instância do Cloud Data Fusion. As etiquetas herdadas podem ser substituídas anexando uma etiqueta com a mesma chave e um valor diferente, mas não podem ser desanexadas. Antes de poder eliminar uma etiqueta, tem de desanexar a respetiva chave e valores de todas as instâncias às quais está anexada.

gcloud

Para eliminar uma associação de etiquetas, use o comando delete:

gcloud resource-manager tags bindings delete \
  --tag-value=TAGVALUE_NAME \
  --parent=RESOURCE_ID \
  --location=LOCATION

Substitua o seguinte:

  • TAGVALUE_NAME: o ID permanente ou o nome do espaço de nomes do valor da etiqueta anexado, por exemplo, tagValues/567890123456.
  • RESOURCE_ID: o ID completo do recurso, incluindo o nome do domínio da API, que identifica o tipo de recurso (//datafusion.googleapis.com/). Por exemplo, para anexar uma etiqueta a uma instância em projects/7890123456 localizada em us-central1, use o seguinte ID do recurso: //datafusion.googleapis.com/projects/7890123456/locations/us-central1/instances/instance-ID.
  • LOCATION: a localização do seu recurso. Por exemplo: us-central1.

É apresentada uma notificação a confirmar que as etiquetas foram atualizadas.

Elimine chaves e valores de etiquetas

Quando remover uma definição de chave ou valor de etiqueta, certifique-se de que a etiqueta está desassociada da instância. Tem de eliminar as associações de etiquetas existentes, denominadas associações de etiquetas, antes de eliminar a própria definição de etiqueta. Para eliminar chaves de etiquetas e valores de etiquetas, consulte o artigo Eliminar etiquetas.

Condições e etiquetas da gestão de identidade e de acesso

Pode usar etiquetas e condições da IAM para conceder condicionalmente associações de funções a utilizadores na sua hierarquia. A alteração ou a eliminação da etiqueta anexada a uma instância pode remover o acesso do utilizador a essa instância se tiver sido aplicada uma política do IAM com associações de funções condicionais. Para mais informações, consulte o artigo Condições e etiquetas da gestão de identidade e de acesso.

O que se segue?