Restez organisé à l'aide des collections
Enregistrez et classez les contenus selon vos préférences.
Ce document explique comment créer des tags sécurisés, les associer à un cluster Dataproc, puis les utiliser pour sécuriser la mise en réseau du cluster.
Avantages de l'utilisation de tags sécurisés
Les tags sécurisés présentent des différences majeures par rapport aux tags réseau, y compris en termes de contrôle des accès avec Identity and Access Management, d'héritage des tags et d'association à un seul réseau VPC. Ils offrent ainsi les principaux avantages suivants :
Contrôle des accès et sécurité renforcés
Les tags sécurisés résolvent les problèmes de sécurité inhérents aux tags réseau en fournissant un accès contrôlé par IAM. Contrairement aux tags réseau, qui peuvent être modifiés par un utilisateur ayant accès au cluster, les tags sécurisés empêchent toute modification non autorisée des tags et les modifications indésirables des règles de pare-feu qui en résultent.
L'utilisation de tags sécurisés dans les stratégies IAM permet un contrôle d'accès conditionnel, ce qui renforce la sécurité en accordant ou en refusant des rôles en fonction de la présence de tags.
Gestion simplifiée du pare-feu
Les stratégies de pare-feu réseau globales et régionales sont compatibles avec les tags sécurisés. Cette compatibilité simplifie la gestion des pare-feu dans Dataproc sur les réseaux partagés.
Contrairement aux règles de pare-feu VPC, les stratégies de pare-feu réseau améliorées par des tags sécurisés permettent de regrouper et de mettre à jour simultanément plusieurs règles, le tout régi par des contrôles d'accès IAM. Par rapport aux règles de pare-feu VPC qui utilisent des tags réseau, les tags sécurisés offrent des fonctionnalités de sécurité et de gestion améliorées dans les stratégies de pare-feu réseau.
Héritage hiérarchique des ressources pour une gestion efficace
Les tags sécurisés héritent des ressources parentes dans la hiérarchie Google Cloud .
Cet héritage simplifie la gestion en vous permettant de définir des tags à un niveau supérieur (par exemple, au niveau de l'organisation) afin qu'ils se propagent automatiquement aux ressources enfants, telles que les dossiers et les projets. Cela permet d'appliquer des tags de manière cohérente dans toute votre organisation. Pour en savoir plus, consultez Héritage des tags.
Gestion améliorée du réseau dans les VPC partagés et appairés
Les tags réseau identifient les sources ou les cibles dans les règles de pare-feu d'un réseau VPC spécifié. Lorsqu'ils sont utilisés pour spécifier une source pour une règle d'entrée dans une stratégie de pare-feu réseau, les tags sécurisés identifient les sources de trafic dans le réseau VPC du cluster Dataproc et dans les réseaux VPC appairés. Lorsque des tags sécurisés sont utilisés pour spécifier des cibles pour des règles d'entrée ou de sortie, ils n'identifient les cibles que dans leur propre réseau VPC.
Pour en savoir plus sur les différences entre les tags et les libellés Resource Manager, consultez Tags et libellés.
Limites
Vous ne pouvez associer des tags sécurisés à un cluster qu'au moment de sa création.
La modification et la suppression des tags sécurisés ne sont pas acceptées.
Rôles requis
Pour obtenir les autorisations nécessaires pour créer et associer des tags sécurisés à un cluster Dataproc, demandez à votre administrateur de vous accorder les rôles IAM suivants sur les tags Resource Manager :
Pour associer un tag sécurisé à un cluster Dataproc, vous devez d'abord créer un tag Resource Manager avec une clé spécifiée et une ou plusieurs valeurs.
Associer des tags sécurisés au cluster Dataproc
Créez un cluster Dataproc en spécifiant la paire TAG_KEY:TAG_VALUE de tags sécurisés.
Google Cloud CLI
Pour créer un cluster Dataproc et lui ajouter un tag sécurisé, exécutez la commande gcloud dataproc clusters create avec l'option --resource-manager-tags.
gcloud dataproc clusters create CLUSTER_NAME \
--region REGION \
--resource-manager-tags=TAG_KEY=TAG_VALUE
TAG_KEY et TAG_VALUE : clé et valeur du tag Resource Manager que vous avez créé.
Vous pouvez spécifier une liste séparée par des virgules pour associer plusieurs tags sécurisés comprenant la même clé avec des valeurs différentes, ou des clés et des valeurs différentes.
PROJECT_ID : ID de votre projet, indiqué dans la section Informations sur le projet du tableau de bord de la console Google Cloud .
CLUSTER_NAME : nom du nouveau cluster
TAG_KEY et TAG_VALUE : clé et valeur du tag Resource Manager que vous avez créé.
Vous pouvez spécifier plusieurs tags sécurisés comprenant la même clé avec des valeurs différentes, ou des clés et des valeurs différentes.
Utiliser des tags sécurisés pour la mise en réseau des clusters
Après avoir associé des tags sécurisés à un cluster, utilisez-les pour configurer la mise en réseau du cluster :
Sauf indication contraire, le contenu de cette page est régi par une licence Creative Commons Attribution 4.0, et les échantillons de code sont régis par une licence Apache 2.0. Pour en savoir plus, consultez les Règles du site Google Developers. Java est une marque déposée d'Oracle et/ou de ses sociétés affiliées.
Dernière mise à jour le 2025/09/04 (UTC).
[[["Facile à comprendre","easyToUnderstand","thumb-up"],["J'ai pu résoudre mon problème","solvedMyProblem","thumb-up"],["Autre","otherUp","thumb-up"]],[["Difficile à comprendre","hardToUnderstand","thumb-down"],["Informations ou exemple de code incorrects","incorrectInformationOrSampleCode","thumb-down"],["Il n'y a pas l'information/les exemples dont j'ai besoin","missingTheInformationSamplesINeed","thumb-down"],["Problème de traduction","translationIssue","thumb-down"],["Autre","otherDown","thumb-down"]],["Dernière mise à jour le 2025/09/04 (UTC)."],[[["\u003cp\u003eSecure tags on Dataproc clusters enhance security by using IAM-controlled access, unlike network tags, preventing unauthorized modifications to firewall rules.\u003c/p\u003e\n"],["\u003cp\u003eSecure tags simplify firewall management by enabling the efficient grouping and updating of multiple rules across shared networks via network firewall policies, all governed by IAM access controls.\u003c/p\u003e\n"],["\u003cp\u003eSecure tags inherit from parent resources in the Google Cloud hierarchy, allowing for organization-wide consistency in tagging by propagating tags from higher levels to child resources.\u003c/p\u003e\n"],["\u003cp\u003eAttaching secure tags to a Dataproc cluster must be done at the time of cluster creation and requires the \u003ccode\u003eTag Administrator\u003c/code\u003e and \u003ccode\u003eTag Viewer\u003c/code\u003e IAM roles.\u003c/p\u003e\n"],["\u003cp\u003eSecure tags can be utilized to configure cluster networking, including defining firewall rules and conditionally granting or denying IAM roles.\u003c/p\u003e\n"]]],[],null,["This document describes how to create secure tags, attach them to a\nDataproc cluster, and then use the tags to secure cluster networking.\n| **Note:** In this document, [Resource Manager tags](/resource-manager/docs/tags/tags-overview) attached to Dataproc clusters are called `secure tags`.\n\nBenefits of using secure tags\n\nSecure tags have key differences from\n[network tags](/vpc/docs/add-remove-network-tags),\nincluding Identity and Access Management access control, tag inheritance,\nand single VPC network binding, which produce the following key benefits:\n\n\u003cbr /\u003e\n\nEnhanced access control and security Secure tags resolve the security issues inherent with network tags by providing IAM controlled access. Unlike network tags, which can be modified by a user with cluster access, secure tags prevent unauthorized modification of tags and the resulting unwanted changes to firewall rules.\u003cbr /\u003e\n\nUsing secure tags in IAM policies enable\n[conditional access control](/iam/docs/conditions-overview), strengthening\nsecurity by granting or denying roles based on the presence of tags.\n\n\u003cbr /\u003e\n\n\u003cbr /\u003e\n\nSimplified firewall management The [global](/firewall/docs/network-firewall-policies) and [regional](/firewall/docs/regional-firewall-policies) network firewall policies support secure tags. This support simplifies firewall management in Dataproc across shared networks.\n\n\u003cbr /\u003e\n\nUnlike VPC firewall rules, network firewall policies that are enhanced by secure\ntags enable efficient grouping and simultaneous updating of multiple rules, all\ngoverned by IAM access controls. Compared to VPC firewall rules\nthat utilize network tags, secure tags provide enhanced security and management\ncapabilities within network firewall policies.\n\n\u003cbr /\u003e\n\n\u003cbr /\u003e\n\nHierarchical resource inheritance for efficient management Secure tags inherit from parent resources within the Google Cloud hierarchy. This inheritance simplifies management by letting you define tags at a higher level---for example, at the organization level---so that they automatically propagate to child resources, such as folders and projects. This enables consistent tagging across your organization. For more information, see [Tag inheritance](/resource-manager/docs/tags/tags-overview#inheritance).\n\n\u003cbr /\u003e\n\n\u003cbr /\u003e\n\nImproved network management across shared and peered VPCs Network tags identify sources or targets in firewall rules within a specified VPC network. Secure tags, when used to specify a source for an ingress rule in a network firewall policy, identify traffic sources in both the Dataproc cluster VPC network and peered VPC networks. When secure tags are used to specify targets for ingress or egress rules, they identify targets only within their own VPC network.\n\n\u003cbr /\u003e\n\nTo learn more about the differences between Resource Manager tags and network tags,\nsee\n[Comparison of Tags and network tags](/firewall/docs/tags-firewalls-overview#differences).\n\nTo learn more about the differences between Resource Manager tags and labels,\nsee\n[Tags and labels](/resource-manager/docs/tags/tags-overview#tags_and_labels).\n\nLimitations\n\n- You can attach secure tags to a cluster only at the time of cluster creation.\n- Updation and deletion of secure tags aren't supported.\n\nRequired roles\n\n\nTo get the permissions that\nyou need to create and attach secure tags to a Dataproc cluster,\n\nask your administrator to grant you the\nfollowing IAM roles on Resource Manager tags:\n\n- Create tags: [Tag Administrator](/iam/docs/roles-permissions/resourcemanager#resourcemanager.tagAdmin) (`roles/resourcemanager.tagAdmin`)\n- Attach tags to a custer: [Tag Viewer](/iam/docs/roles-permissions/resourcemanager#resourcemanager.tagViewer) (`roles/resourcemanager.tagViewer`)\n\n\nFor more information about granting roles, see [Manage access to projects, folders, and organizations](/iam/docs/granting-changing-revoking-access).\n\n\nYou might also be able to get\nthe required permissions through [custom\nroles](/iam/docs/creating-custom-roles) or other [predefined\nroles](/iam/docs/roles-overview#predefined).\n\nCreate a secure tag\n\nTo attach a secure tag to a Dataproc cluster, you must first\n[create a Resource Manager tag](/resource-manager/docs/tags/tags-creating-and-managing#creating)\nwith a specified key and one or more values.\n\nAttach secure tags to the Dataproc cluster\n\nCreate a Dataproc cluster, specifying the secure tag\n\u003cvar translate=\"no\"\u003eTAG_KEY\u003c/var\u003e`:`\u003cvar translate=\"no\"\u003eTAG_VALUE\u003c/var\u003e pair. \n\nGoogle Cloud CLI\n\nTo create a Dataproc cluster and add a secure tag to the\ncluster, run the\n[gcloud Dataproc clusters create](/sdk/gcloud/reference/dataproc/clusters/create)\ncommand with the `--resource-manager-tags` flag. \n\n gcloud dataproc clusters create \u003cvar translate=\"no\"\u003eCLUSTER_NAME\u003c/var\u003e \\\n --region \u003cvar translate=\"no\"\u003eREGION\u003c/var\u003e \\\n --resource-manager-tags=\u003cvar translate=\"no\"\u003eTAG_KEY\u003c/var\u003e=\u003cvar translate=\"no\"\u003eTAG_VALUE\u003c/var\u003e\n\nReplace the following:\n\n- \u003cvar translate=\"no\"\u003eCLUSTER_NAME\u003c/var\u003e: the name of the new cluster.\n\n- \u003cvar translate=\"no\"\u003eREGION\u003c/var\u003e: the\n [Compute Engine region](/compute/docs/regions-zones#available)\n in which to locate the cluster.\n\n- \u003cvar translate=\"no\"\u003eTAG_KEY\u003c/var\u003e and \u003cvar translate=\"no\"\u003eTAG_VALUE\u003c/var\u003e: the key and a value of\n the [Resource Manager tag that you created](#create-a-secure-tag).\n You can specify a comma-separated list to attach multiple secure\n tags comprised of the same key with different values, or different keys\n and values.\n\nREST\n\nTo create a Dataproc cluster and add a secure tag to the\ncluster, include the\n[`resourceManagerTags`](/dataproc/docs/reference/rest/v1/ClusterConfig#GceClusterConfig.FIELDS.resource_manager_tags)\nfield as part of a\n[clusters.create](/dataproc/docs/reference/rest/v1/projects.regions.clusters/create)\nrequest.\n\nThe following is an sample JSON body of a `cluster.create` request that\nincludes attaching a `\"`\u003cvar translate=\"no\"\u003eTAG_KEY\u003c/var\u003e`\":\"`\u003cvar translate=\"no\"\u003eTAG_VALUE\u003c/var\u003e`\"`\nsecure tag to the cluster: \n\n {\n \"clusterName\": \"\u003cvar translate=\"no\"\u003eCLUSTER_NAME\u003c/var\u003e\",\n \"config\": {\n \"gceClusterConfig\": {\n \"resourceManagerTags\": {\n \"\u003cvar translate=\"no\"\u003eTAG_KEY\u003c/var\u003e\": \"\u003cvar translate=\"no\"\u003eTAG_VALUE\u003c/var\u003e\"\n }\n }\n }\n }\n\nReplace the following:\n\n- \u003cvar translate=\"no\"\u003ePROJECT_ID\u003c/var\u003e: your project ID that is listed in the\n **Project info** section in the Google Cloud console\n [Dashboard](https://console.cloud.google.com/home/dashboard).\n\n- \u003cvar translate=\"no\"\u003eCLUSTER_NAME\u003c/var\u003e: the name of the new cluster.\n\n- \u003cvar translate=\"no\"\u003eTAG_KEY\u003c/var\u003e and \u003cvar translate=\"no\"\u003eTAG_VALUE\u003c/var\u003e: the key and a value of\n the [Resource Manager tag that you created](#create-a-secure-tag).\n You can specify multiple secure tags comprised of the same key with\n different values or different keys and values.\n\nUse secure tags for cluster networking\n\nAfter attaching secure tags to a cluster, use secure tags to configure\ncluster networking:\n\n- Use secure tags to [define firewall rules](/dataproc/docs/concepts/configuring-clusters/network#firewall_requirements).\n- Use secure tags to [conditionally grant or deny](/iam/docs/conditions-overview) the IAM [Tag Administrator TAG viewer roles](#required-roles) needed to create and attach secure tags to a cluster.\n\nWhat's next\n\n- Learn more about [tags](/resource-manager/docs/tags/tags-overview).\n- Learn more about [network tags](/vpc/docs/add-remove-network-tags)."]]
