Mantenha tudo organizado com as coleções
Salve e categorize o conteúdo com base nas suas preferências.
Este documento descreve como criar tags seguras, anexá-las a um cluster do Dataproc e usar as tags para proteger a rede do cluster.
Benefícios de usar tags seguras
As tags seguras têm diferenças importantes em relação às tags de rede, incluindo controle de acesso do Identity and Access Management, herança de tags e vinculação única de rede VPC, que produzem os seguintes benefícios principais:
Controle de acesso e segurança aprimorados
As tags seguras resolvem os problemas de segurança inerentes às tags de rede, fornecendo acesso controlado pelo IAM. Ao contrário das tags de rede, que podem ser modificadas por um usuário com acesso ao cluster, as tags seguras impedem a modificação não autorizada de tags e as mudanças indesejadas resultantes nas regras de firewall.
O uso de tags seguras em políticas do IAM permite o controle de acesso condicional, fortalecendo a segurança ao conceder ou negar papéis com base na presença de tags.
Gerenciamento simplificado de firewall
As políticas de firewall de rede global e regional são compatíveis com tags seguras. Esse suporte simplifica o gerenciamento de firewall no Dataproc em redes compartilhadas.
Ao contrário das regras de firewall da VPC, as políticas de firewall de rede aprimoradas por tags seguras permitem o agrupamento eficiente e a atualização simultânea de várias regras, tudo regido pelos controles de acesso do IAM. Em comparação com as regras de firewall da VPC que usam tags de rede, as tags seguras oferecem recursos aprimorados de segurança e gerenciamento nas políticas de firewall de rede.
Herança hierárquica de recursos para gerenciamento eficiente
As tags seguras herdam dos recursos pai na hierarquia Google Cloud .
Essa herança simplifica o gerenciamento, permitindo que você defina tags em um nível mais alto, por exemplo, no nível da organização, para que elas sejam propagadas automaticamente para recursos filhos, como pastas e projetos. Isso permite a inclusão consistente de tags em toda a organização. Para mais informações, consulte
Herança de tags.
Gerenciamento de rede aprimorado em VPCs compartilhadas e com peering
As tags de rede identificam origens ou destinos em regras de firewall em uma rede VPC especificada. Quando usadas para especificar uma origem de uma regra de entrada em uma política de firewall de rede, as tags seguras identificam origens de tráfego na rede VPC do cluster do Dataproc e nas redes VPC com peering. Quando
tags seguras são usadas para especificar destinos de regras de entrada ou saída, elas
identificam destinos apenas na própria rede VPC.
Para saber mais sobre as diferenças entre tags e rótulos do Resource Manager,
consulte
Tags e rótulos.
Limitações
Só é possível anexar tags seguras a um cluster no momento da criação dele.
Não é possível atualizar nem excluir tags seguras.
Funções exigidas
Para receber as permissões necessárias para criar e anexar tags seguras a um cluster do Dataproc,
peça ao administrador para conceder a você os
seguintes papéis do IAM nas tags do Resource Manager:
Para anexar uma tag segura a um cluster do Dataproc, primeiro crie uma tag do Resource Manager com uma chave especificada e um ou mais valores.
Anexar tags seguras ao cluster do Dataproc
Crie um cluster do Dataproc, especificando o par de tag
TAG_KEY:TAG_VALUE seguro.
CLI do Google Cloud
Para criar um cluster do Dataproc e adicionar uma tag segura a ele, execute o comando gcloud Dataproc clusters create com a flag --resource-manager-tags.
gcloud dataproc clusters create CLUSTER_NAME \
--region REGION \
--resource-manager-tags=TAG_KEY=TAG_VALUE
TAG_KEY e TAG_VALUE: a chave e um valor da tag do Resource Manager que você criou.
É possível especificar uma lista separada por vírgulas para anexar várias tags seguras
compostas pela mesma chave com valores diferentes ou chaves
e valores diferentes.
REST
Para criar um cluster do Dataproc e adicionar uma tag segura a ele, inclua o campo resourceManagerTags como parte de uma solicitação clusters.create.
Confira a seguir um exemplo de corpo JSON de uma solicitação cluster.create que
inclui a anexação de uma tag segura "TAG_KEY":"TAG_VALUE"
ao cluster:
PROJECT_ID: o ID do projeto listado na seção
Informações do projeto no
painel do console do Google Cloud .
CLUSTER_NAME: o nome do novo cluster;
TAG_KEY e TAG_VALUE: a chave e um valor da tag do Resource Manager que você criou.
É possível especificar várias tags seguras compostas pela mesma chave com valores diferentes ou chaves e valores diferentes.
Usar tags seguras para rede de clusters
Depois de anexar tags seguras a um cluster, use-as para configurar a rede do cluster:
[[["Fácil de entender","easyToUnderstand","thumb-up"],["Meu problema foi resolvido","solvedMyProblem","thumb-up"],["Outro","otherUp","thumb-up"]],[["Difícil de entender","hardToUnderstand","thumb-down"],["Informações incorretas ou exemplo de código","incorrectInformationOrSampleCode","thumb-down"],["Não contém as informações/amostras de que eu preciso","missingTheInformationSamplesINeed","thumb-down"],["Problema na tradução","translationIssue","thumb-down"],["Outro","otherDown","thumb-down"]],["Última atualização 2025-09-08 UTC."],[[["\u003cp\u003eSecure tags on Dataproc clusters enhance security by using IAM-controlled access, unlike network tags, preventing unauthorized modifications to firewall rules.\u003c/p\u003e\n"],["\u003cp\u003eSecure tags simplify firewall management by enabling the efficient grouping and updating of multiple rules across shared networks via network firewall policies, all governed by IAM access controls.\u003c/p\u003e\n"],["\u003cp\u003eSecure tags inherit from parent resources in the Google Cloud hierarchy, allowing for organization-wide consistency in tagging by propagating tags from higher levels to child resources.\u003c/p\u003e\n"],["\u003cp\u003eAttaching secure tags to a Dataproc cluster must be done at the time of cluster creation and requires the \u003ccode\u003eTag Administrator\u003c/code\u003e and \u003ccode\u003eTag Viewer\u003c/code\u003e IAM roles.\u003c/p\u003e\n"],["\u003cp\u003eSecure tags can be utilized to configure cluster networking, including defining firewall rules and conditionally granting or denying IAM roles.\u003c/p\u003e\n"]]],[],null,["This document describes how to create secure tags, attach them to a\nDataproc cluster, and then use the tags to secure cluster networking.\n| **Note:** In this document, [Resource Manager tags](/resource-manager/docs/tags/tags-overview) attached to Dataproc clusters are called `secure tags`.\n\nBenefits of using secure tags\n\nSecure tags have key differences from\n[network tags](/vpc/docs/add-remove-network-tags),\nincluding Identity and Access Management access control, tag inheritance,\nand single VPC network binding, which produce the following key benefits:\n\n\u003cbr /\u003e\n\nEnhanced access control and security Secure tags resolve the security issues inherent with network tags by providing IAM controlled access. Unlike network tags, which can be modified by a user with cluster access, secure tags prevent unauthorized modification of tags and the resulting unwanted changes to firewall rules.\u003cbr /\u003e\n\nUsing secure tags in IAM policies enable\n[conditional access control](/iam/docs/conditions-overview), strengthening\nsecurity by granting or denying roles based on the presence of tags.\n\n\u003cbr /\u003e\n\n\u003cbr /\u003e\n\nSimplified firewall management The [global](/firewall/docs/network-firewall-policies) and [regional](/firewall/docs/regional-firewall-policies) network firewall policies support secure tags. This support simplifies firewall management in Dataproc across shared networks.\n\n\u003cbr /\u003e\n\nUnlike VPC firewall rules, network firewall policies that are enhanced by secure\ntags enable efficient grouping and simultaneous updating of multiple rules, all\ngoverned by IAM access controls. Compared to VPC firewall rules\nthat utilize network tags, secure tags provide enhanced security and management\ncapabilities within network firewall policies.\n\n\u003cbr /\u003e\n\n\u003cbr /\u003e\n\nHierarchical resource inheritance for efficient management Secure tags inherit from parent resources within the Google Cloud hierarchy. This inheritance simplifies management by letting you define tags at a higher level---for example, at the organization level---so that they automatically propagate to child resources, such as folders and projects. This enables consistent tagging across your organization. For more information, see [Tag inheritance](/resource-manager/docs/tags/tags-overview#inheritance).\n\n\u003cbr /\u003e\n\n\u003cbr /\u003e\n\nImproved network management across shared and peered VPCs Network tags identify sources or targets in firewall rules within a specified VPC network. Secure tags, when used to specify a source for an ingress rule in a network firewall policy, identify traffic sources in both the Dataproc cluster VPC network and peered VPC networks. When secure tags are used to specify targets for ingress or egress rules, they identify targets only within their own VPC network.\n\n\u003cbr /\u003e\n\nTo learn more about the differences between Resource Manager tags and network tags,\nsee\n[Comparison of Tags and network tags](/firewall/docs/tags-firewalls-overview#differences).\n\nTo learn more about the differences between Resource Manager tags and labels,\nsee\n[Tags and labels](/resource-manager/docs/tags/tags-overview#tags_and_labels).\n\nLimitations\n\n- You can attach secure tags to a cluster only at the time of cluster creation.\n- Updation and deletion of secure tags aren't supported.\n\nRequired roles\n\n\nTo get the permissions that\nyou need to create and attach secure tags to a Dataproc cluster,\n\nask your administrator to grant you the\nfollowing IAM roles on Resource Manager tags:\n\n- Create tags: [Tag Administrator](/iam/docs/roles-permissions/resourcemanager#resourcemanager.tagAdmin) (`roles/resourcemanager.tagAdmin`)\n- Attach tags to a custer: [Tag Viewer](/iam/docs/roles-permissions/resourcemanager#resourcemanager.tagViewer) (`roles/resourcemanager.tagViewer`)\n\n\nFor more information about granting roles, see [Manage access to projects, folders, and organizations](/iam/docs/granting-changing-revoking-access).\n\n\nYou might also be able to get\nthe required permissions through [custom\nroles](/iam/docs/creating-custom-roles) or other [predefined\nroles](/iam/docs/roles-overview#predefined).\n\nCreate a secure tag\n\nTo attach a secure tag to a Dataproc cluster, you must first\n[create a Resource Manager tag](/resource-manager/docs/tags/tags-creating-and-managing#creating)\nwith a specified key and one or more values.\n\nAttach secure tags to the Dataproc cluster\n\nCreate a Dataproc cluster, specifying the secure tag\n\u003cvar translate=\"no\"\u003eTAG_KEY\u003c/var\u003e`:`\u003cvar translate=\"no\"\u003eTAG_VALUE\u003c/var\u003e pair. \n\nGoogle Cloud CLI\n\nTo create a Dataproc cluster and add a secure tag to the\ncluster, run the\n[gcloud Dataproc clusters create](/sdk/gcloud/reference/dataproc/clusters/create)\ncommand with the `--resource-manager-tags` flag. \n\n gcloud dataproc clusters create \u003cvar translate=\"no\"\u003eCLUSTER_NAME\u003c/var\u003e \\\n --region \u003cvar translate=\"no\"\u003eREGION\u003c/var\u003e \\\n --resource-manager-tags=\u003cvar translate=\"no\"\u003eTAG_KEY\u003c/var\u003e=\u003cvar translate=\"no\"\u003eTAG_VALUE\u003c/var\u003e\n\nReplace the following:\n\n- \u003cvar translate=\"no\"\u003eCLUSTER_NAME\u003c/var\u003e: the name of the new cluster.\n\n- \u003cvar translate=\"no\"\u003eREGION\u003c/var\u003e: the\n [Compute Engine region](/compute/docs/regions-zones#available)\n in which to locate the cluster.\n\n- \u003cvar translate=\"no\"\u003eTAG_KEY\u003c/var\u003e and \u003cvar translate=\"no\"\u003eTAG_VALUE\u003c/var\u003e: the key and a value of\n the [Resource Manager tag that you created](#create-a-secure-tag).\n You can specify a comma-separated list to attach multiple secure\n tags comprised of the same key with different values, or different keys\n and values.\n\nREST\n\nTo create a Dataproc cluster and add a secure tag to the\ncluster, include the\n[`resourceManagerTags`](/dataproc/docs/reference/rest/v1/ClusterConfig#GceClusterConfig.FIELDS.resource_manager_tags)\nfield as part of a\n[clusters.create](/dataproc/docs/reference/rest/v1/projects.regions.clusters/create)\nrequest.\n\nThe following is an sample JSON body of a `cluster.create` request that\nincludes attaching a `\"`\u003cvar translate=\"no\"\u003eTAG_KEY\u003c/var\u003e`\":\"`\u003cvar translate=\"no\"\u003eTAG_VALUE\u003c/var\u003e`\"`\nsecure tag to the cluster: \n\n {\n \"clusterName\": \"\u003cvar translate=\"no\"\u003eCLUSTER_NAME\u003c/var\u003e\",\n \"config\": {\n \"gceClusterConfig\": {\n \"resourceManagerTags\": {\n \"\u003cvar translate=\"no\"\u003eTAG_KEY\u003c/var\u003e\": \"\u003cvar translate=\"no\"\u003eTAG_VALUE\u003c/var\u003e\"\n }\n }\n }\n }\n\nReplace the following:\n\n- \u003cvar translate=\"no\"\u003ePROJECT_ID\u003c/var\u003e: your project ID that is listed in the\n **Project info** section in the Google Cloud console\n [Dashboard](https://console.cloud.google.com/home/dashboard).\n\n- \u003cvar translate=\"no\"\u003eCLUSTER_NAME\u003c/var\u003e: the name of the new cluster.\n\n- \u003cvar translate=\"no\"\u003eTAG_KEY\u003c/var\u003e and \u003cvar translate=\"no\"\u003eTAG_VALUE\u003c/var\u003e: the key and a value of\n the [Resource Manager tag that you created](#create-a-secure-tag).\n You can specify multiple secure tags comprised of the same key with\n different values or different keys and values.\n\nUse secure tags for cluster networking\n\nAfter attaching secure tags to a cluster, use secure tags to configure\ncluster networking:\n\n- Use secure tags to [define firewall rules](/dataproc/docs/concepts/configuring-clusters/network#firewall_requirements).\n- Use secure tags to [conditionally grant or deny](/iam/docs/conditions-overview) the IAM [Tag Administrator TAG viewer roles](#required-roles) needed to create and attach secure tags to a cluster.\n\nWhat's next\n\n- Learn more about [tags](/resource-manager/docs/tags/tags-overview).\n- Learn more about [network tags](/vpc/docs/add-remove-network-tags)."]]
