Creazione e gestione di tag

Puoi associare i tag ai seguenti tipi di risorse di bilanciamento del carico Google Cloud:

  • Bucket di backend
    		•
  • Servizio di backend
    		•
  • Regola di forwarding
    		•
  • Controllo di integrità
    		•
  • Gruppo di endpoint di rete
    		•
  • Certificato SSL
    		•
  • Proxy HTTP(S) di destinazione
    		•
  • Istanza di destinazione
    		•
  • Pool di destinazione
    		•
  • Proxy SSL di destinazione
    		•
  • Proxy TCP di destinazione
    		•
  • Mappa URL
    		•

    Informazioni sui tag

    Un tag è una coppia chiave-valore collegabile a una risorsa all'interno in Google Cloud. Puoi utilizzare i tag per consentire o negare in modo condizionale i criteri in base se una risorsa ha un tag specifico. Ad esempio, puoi concedere in modo condizionale i ruoli di Identity and Access Management (IAM) a seconda che una risorsa abbia un tag specifico. Per saperne di più sui tag, consulta la Panoramica dei tag.

    I tag vengono associati alle risorse creando una risorsa di associazione dei tag che collega il valore alla risorsa Google Cloud.

    Per raggruppare le risorse di bilanciamento del carico per scopi di automazione e fatturazione, utilizza le etichette. Tag ed etichette lavorare in modo indipendente l'una dall'altra e puoi applicare entrambi alle risorse.

    Autorizzazioni obbligatorie

    Le autorizzazioni necessarie dipendono dall'azione da eseguire.

    Per ottenere queste autorizzazioni, chiedi all'amministratore di concedere il ruolo suggerito al livello appropriato della gerarchia delle risorse.

    Visualizza tag

    Per visualizzare le definizioni dei tag e i tag associati alle risorse, devi disporre Visualizzatore tag (roles/resourcemanager.tagViewer) o un altro ruolo che include le seguenti autorizzazioni:

    Autorizzazioni obbligatorie

    • resourcemanager.tagKeys.get
    • resourcemanager.tagKeys.list
    • resourcemanager.tagValues.list
    • resourcemanager.tagValues.get
    • listTagBindings per il tipo di risorsa appropriato. Per esempio, compute.instances.listTagBindings per visualizzare i tag collegate alle istanze Compute Engine.
    • listEffectiveTags
      • per il tipo di risorsa appropriato. Ad esempio, compute.instances.listEffectiveTags per la visualizzazione tutti i tag associati o ereditati dalle istanze Compute Engine.

    Per visualizzare i tag a livello di organizzazione, devi disporre del ruolo Visualizzatore organizzazione (roles/resourcemanager.organizationViewer) per la risorsa dell'organizzazione.

    Amministrare i tag

    Per creare, aggiornare ed eliminare le definizioni dei tag, devi disporre del ruolo Amministratore tag (roles/resourcemanager.tagAdmin) o di un altro ruolo che includa le seguenti autorizzazioni:

    Autorizzazioni obbligatorie

    • resourcemanager.tagKeys.create
    • resourcemanager.tagKeys.update
    • resourcemanager.tagKeys.delete
    • resourcemanager.tagKeys.list
    • resourcemanager.tagKeys.get
    • resourcemanager.tagKeys.getIamPolicy
    • resourcemanager.tagKeys.setIamPolicy
    • resourcemanager.tagValues.create
    • resourcemanager.tagValues.update
    • resourcemanager.tagValues.delete
    • resourcemanager.tagValues.list
    • resourcemanager.tagValues.get
    • resourcemanager.tagValues.getIamPolicy
    • resourcemanager.tagValues.setIamPolicy

    Per amministrare i tag a livello di organizzazione è necessario Ruolo Visualizzatore organizzazione (roles/resourcemanager.organizationViewer) in risorsa dell'organizzazione.

    Gestire i tag nelle risorse

    Per aggiungere e rimuovere i tag collegati alle risorse, devi disporre del ruolo Utente tag (roles/resourcemanager.tagUser) o di un altro ruolo con autorizzazioni equivalenti sia per il valore tag sia per le risorse a cui colleghi il valore tag. Il ruolo Utente tag include le seguenti autorizzazioni:

    Autorizzazioni obbligatorie

    • Autorizzazioni richieste per la risorsa a cui stai collegando il valore tag
      • Autorizzazione createTagBinding specifica per risorsa, ad esempio compute.instances.createTagBinding per le istanze di Compute Engine.
      • Autorizzazione deleteTagBinding specifica per risorsa, ad esempio compute.instances.deleteTagBinding per le istanze di Compute Engine.
    • Autorizzazioni richieste per il valore tag:
      • resourcemanager.tagValueBindings.create
      • resourcemanager.tagValueBindings.delete
    • Autorizzazioni che ti consentono di visualizzare i progetti e le definizioni dei tag:
      • resourcemanager.tagValues.get
      • resourcemanager.tagValues.list
      • resourcemanager.tagKeys.get
      • resourcemanager.tagKeys.list
      • resourcemanager.projects.get

    Per associare i tag alle risorse di bilanciamento del carico, devi disporre del ruolo Amministratore di rete Compute (roles/compute.networkAdmin) e del ruolo Amministratore di sicurezza Compute (roles/compute.securityAdmin).

    Creare chiavi e valori dei tag

    Prima di poter collegare un tag, devi crearne uno e configurarne il valore. Per creare chiavi e valori dei tag, consulta Creare un tag e Aggiungere un valore del tag.

    Associare un tag a una risorsa di bilanciamento del carico

    Dopo che il tag è stato creato, devi collegarlo a di una risorsa di bilanciamento del carico.

    gcloud

    Per associare un tag a una risorsa di bilanciamento del carico, devi creare una risorsa di associazione dei tag utilizzando il comando gcloud resource-manager tags bindings create:

          gcloud resource-manager tags bindings create \
          --tag-value=TAGVALUE_NAME \
          --parent=RESOURCE_ID \
          --location=LOCATION

    Sostituisci quanto segue:

    • TAGVALUE_NAME: l'ID permanente o nome con spazio dei nomi del valore del tag associato, ad esempio tagValues/567890123456.
    • RESOURCE_ID: l'ID completo della risorsa, incluso il nome di dominio dell'API per identificare il tipo di risorsa (//compute.googleapis.com/).

      Ad esempio:

      • L'ID risorsa di una risorsa globale, ad esempio un proxy HTTP di destinazione in projects/7890123456, è il seguente: //compute.googleapis.com/projects/7890123456/global/targetHttpProxies/{resource-id}
      • L'ID risorsa di una risorsa regionale, ad esempio un servizio di backend regionale in projects/7890123456, è il seguente: //compute.googleapis.com/projects/7890123456/regions/REGION/backendServices/{resource-id}
      • L'ID risorsa di una risorsa a livello di zona, ad esempio un gruppo di endpoint di rete in projects/7890123456, è il seguente: //compute.googleapis.com/projects/7890123456/zones/ZONE/networkEndpointGroups/{resource-id}
    • LOCATION: la posizione della risorsa. Se stai collegando un tag a un account globale come una cartella o un progetto, ometti questo flag. Se colleghi un tag a una risorsa di regione o zona, devi specifica la posizione, ad esempio us-central1 (regione) o us-central1-a (zona).

    Elenca i tag associati a una risorsa di bilanciamento del carico

    Puoi visualizzare un elenco di associazioni di tag collegate direttamente o ereditate dal di bilanciamento del carico.

    gcloud

    Per ottenere un elenco di associazioni di tag collegate a una risorsa, utilizza il metodo Comando gcloud resource-manager tags bindings list:

          gcloud resource-manager tags bindings list \
          --parent=RESOURCE_ID \
          --location=LOCATION

    Sostituisci quanto segue:

    • RESOURCE_ID: l'ID completo della risorsa, incluso il nome di dominio dell'API per identificare il tipo di risorsa (//compute.googleapis.com/).

      Ad esempio:

      • L'ID risorsa di una risorsa globale, ad esempio un proxy HTTP di destinazione in projects/7890123456, è il seguente: //compute.googleapis.com/projects/7890123456/global/targetHttpProxies/{resource-id}
      • L'ID risorsa di una risorsa regionale, ad esempio un servizio di backend regionale in projects/7890123456, è il seguente: //compute.googleapis.com/projects/7890123456/regions/REGION/backendServices/{resource-id}
      • L'ID risorsa di una risorsa a livello di zona, ad esempio un gruppo di endpoint di rete in projects/7890123456, è il seguente: //compute.googleapis.com/projects/7890123456/zones/ZONE/networkEndpointGroups/{resource-id}
    • LOCATION: la posizione della risorsa. Se stai visualizzando un tag collegato a una risorsa globale, ad esempio una cartella o un progetto, ometti questo flag. Se stai visualizzando un tag associato a una risorsa regionale o zonale, devi specificare la località, ad esempio us-central1 (regione) o us-central1-a (zona).

    Dovresti ricevere una risposta simile alla seguente:

    name: tagBindings/%2F%2Fcloudresourcemanager.googleapis.com%2Fprojects%2F7890123456/tagValues/567890123456
          tagValue: tagValues/567890123456
          resource: 
//compute.googleapis.com/projects/7890123456/regions/REGION/targetHttpProxies/{resource-id}

    Scollega i tag da una risorsa di bilanciamento del carico

    Puoi scollegare i tag che sono stati collegati direttamente a una risorsa di bilanciamento del carico. I tag ereditati possono essere sostituiti collegando un tag con la stessa chiave e un valore diverso, ma non possono essere scollegati. Prima di poter eliminare un tag, devi scollegare le relative chiavi e i relativi valori da ogni risorsa a cui è collegato.

    gcloud

    Per eliminare un'associazione di tag, utilizza il gcloud resource-manager tags bindings delete comando:

          gcloud resource-manager tags bindings delete \
          --tag-value=TAGVALUE_NAME \
          --parent=RESOURCE_ID \
          --location=LOCATION

    Sostituisci quanto segue:

    • TAGVALUE_NAME: l'ID permanente o nome con spazio dei nomi del valore del tag associato, ad esempio tagValues/567890123456.
    • RESOURCE_ID: l'ID completo della risorsa, incluso il nome di dominio dell'API per identificare il tipo di risorsa (//compute.googleapis.com/).

      Ad esempio:

      • L'ID risorsa di una risorsa globale, ad esempio un proxy HTTP di destinazione in projects/7890123456, è il seguente: //compute.googleapis.com/projects/7890123456/global/targetHttpProxies/{resource-id}
      • L'ID risorsa di una risorsa regionale, ad esempio un servizio di backend regionale in projects/7890123456, è il seguente: //compute.googleapis.com/projects/7890123456/regions/REGION/backendServices/{resource-id}
      • L'ID risorsa di una risorsa a livello di zona, ad esempio un gruppo di endpoint di rete in projects/7890123456, è il seguente: //compute.googleapis.com/projects/7890123456/zones/ZONE/networkEndpointGroups/{resource-id}
    • LOCATION: la posizione della risorsa. Se stai collegando un tag a un account globale come una cartella o un progetto, ometti questo flag. Se colleghi un tag a una risorsa regionale o di zona, devi specificare la località, ad esempio us-central1 (regione) o us-central1-a (zona).

    Eliminare le chiavi e i valori dei tag

    Quando rimuovi una definizione di chiave o valore del tag, assicurati che il tag sia scollegato dalla risorsa di bilanciamento del carico. Devi eliminare gli allegati di tag esistenti, chiamati tag prima di eliminare la definizione del tag. Per eliminare le chiavi dei tag e il tag consulta la sezione Eliminazione dei tag.

    Condizioni e tag di Identity and Access Management

    Puoi utilizzare tag e condizioni IAM per concedere associazioni di ruoli agli utenti della gerarchia. Modifica o eliminazione del tag associato a una risorsa può rimuovere l'accesso degli utenti a quella risorsa se È stato applicato il criterio IAM con associazioni di ruoli condizionali. Per Per saperne di più, consulta Condizioni e tag di Identity and Access Management.

    Passaggi successivi