Introduzione ai tag

La gerarchia delle risorse di Google Cloud è un modo per organizzare le risorse in una struttura ad albero. Questa gerarchia consente di gestire le risorse su larga scala, ma modella solo alcune dimensioni aziendali, tra cui struttura organizzativa, regioni, tipi di carico di lavoro e centri di costo. La gerarchia non ha la flessibilità necessaria per sovrapporre più dimensioni aziendali.

I tag forniscono un modo per creare annotazioni per le risorse e, in alcuni casi, consentono o negano in modo condizionale i criteri a seconda che una risorsa abbia un tag specifico. Puoi utilizzare i tag e l'applicazione condizionale dei criteri per avere un controllo granulare in tutta la gerarchia delle risorse.

Tag ed etichette

Le etichette sono un modo separato per creare annotazioni per le risorse. Nella tabella seguente sono elencate alcune delle differenze tra tag ed etichette:

Tag Etichette
Struttura delle risorse Le chiavi tag, i valori dei tag e le associazioni di tag sono risorse discrete Non una risorsa in sé, ma i metadati delle risorse
Definizione Definite a livello di organizzazione o di progetto Definite da ogni risorsa
Controllo dell'accesso La gestione e il collegamento dei tag richiedono ruoli IAM (Identity and Access Management) L'allegato delle etichette richiede ruoli IAM, che variano in base alla risorsa del servizio.
Prerequisito per l'allegato La chiave e il valore del tag devono essere definiti prima che un tag possa essere associato a una risorsa Nessun prerequisito per l'allegato
Ereditarietà Le associazioni di tag vengono ereditate dagli elementi figlio della risorsa nella gerarchia di Google Cloud Non ereditati dagli elementi figlio della risorsa
Requisiti per l'eliminazione I tag non possono essere eliminati a meno che non esistano associazioni di tag per i tag in questione Possono essere rimossi da una risorsa in qualsiasi momento
Requisiti per la denominazione Requisiti per Valori tag e chiavi tag Requisiti per le etichette
Lunghezza del nome chiave/valore Massimo 256 caratteri Massimo 63 caratteri
Supporto dei criteri IAM È possibile fare riferimento ai tag tramite le condizioni dei criteri IAM Nessun supporto per i criteri IAM
Assistenza per i criteri dell'organizzazione I vincoli condizionali dei criteri dell'organizzazione possono fare riferimento ai tag su alcune risorse Nessun supporto per i criteri dell'organizzazione
Integrazione della fatturazione Cloud Esegui storni di addebito, controlli e altre analisi di allocazione dei costi, esporta i dati di costo della fatturazione Cloud in BigQuery Filtra le risorse per etichetta in fatturazione Cloud, esporta i dati di fatturazione Cloud in BigQuery

Per ulteriori informazioni sulle etichette, consulta Creazione e gestione delle etichette.

Creazione di tag

I tag sono strutturati come coppia chiave-valore. Puoi creare una risorsa chiave tag nelle risorse dell'organizzazione o del progetto, mentre i valori dei tag sono risorse collegate a una chiave. Ad esempio, una chiave tag environment con valori production e development.

Amministrazione dei tag

Gli amministratori possono controllare l'utilizzo dei tag limitando gli utenti che possono creare, aggiornare, eliminare e collegare i tag alle risorse. Possono selezionare un singolo tag per apportare modifiche, ad esempio aggiungere o rimuovere valori, e aggiornare la descrizione. Ciò consente un controllo granulare dei tag.

Ai tag può essere fornita una descrizione, che verrà visualizzata quando vengono recuperate le informazioni relative al tag. Questa descrizione garantisce che chi collega il tag alla risorsa ne capisca lo scopo.

Un tag può avere sempre un solo valore per una determinata chiave in una particolare risorsa. Ad esempio, un progetto con la chiave tag environment e il valore production potrebbe non avere anche il valore development per la chiave environment.

Criteri e tag

Puoi utilizzare i tag con criteri che li supportano per applicare questi criteri in modo condizionale. Puoi impostare la presenza o l'assenza di un valore di tag come condizione per il criterio.

Ad esempio, puoi concedere in modo condizionale i ruoli IAM (Identity and Access Management) e negare in modo condizionale le autorizzazioni IAM a seconda che una risorsa abbia un tag specifico.

Dopo aver creato un tag, puoi applicarlo alle risorse. Puoi quindi creare criteri condizionali in base al fatto che un tag sia associato a una risorsa supportata. Il criterio verrà applicato in base alla presenza o all'assenza di tag collegati alle risorse.

Per informazioni su come utilizzare i tag con Identity and Access Management (IAM) per controllare l'accesso alle tue risorse Google Cloud, consulta Tag e controllo dell'accesso.

Eredità dei tag

Quando una coppia chiave-valore del tag è collegata a una risorsa, tutti i relativi discendenti ereditano il tag. Puoi eseguire l'override di un tag ereditato su una risorsa discendente. Per sostituire un tag ereditato, applica un tag utilizzando la stessa chiave del tag ereditato, ma utilizza un valore diverso.

Ad esempio, supponi di applicare il tag environment: development a una cartella e che quest'ultima abbia due cartelle secondarie denominate team-a e team-b. Puoi anche applicare un tag diverso, environment: test, alla cartella team-b. Di conseguenza, i progetti e altre risorse nella cartella team-a ereditano il tag environment: development, mentre i progetti e le altre risorse nella cartella team-b ereditano il tag environment: test:

Se rimuovi il tag environment: test dalla cartella team-b, quella cartella e le relative risorse erediteranno il tag environment: development.

Tutti i tag associati a ed ereditati da una risorsa vengono denominati collettivamente tag effettivi. I tag effettivi per una risorsa sono una combinazione dei tag collegati direttamente alla risorsa, nonché di tutti i tag associati a tutti i predecessori della risorsa in tutta la gerarchia.

Quando utilizzi i tag per gestire i criteri, ti consigliamo di creare un tag predefinito sicuro. Ciò significa impostare un tag a livello della risorsa dell'organizzazione che verrà quindi ereditato in tutta la gerarchia delle risorse. Ad esempio, una chiave tag con nome breve enforcement e valori default, on o off. Se imposti enforcement: default a livello di organizzazione, il tag viene ereditato da tutte le risorse, a meno che non venga sostituito ai livelli inferiori.

Potresti quindi scrivere criteri che gestiscono la chiave tag enforcement, con condizioni che influirebbero su una risorsa se è enforcement: on o enforcement: off e un caso sicuro se è enforcement: default. Se il tag enforcement venisse rimosso da una risorsa, questo erediterà il valore del tag enforcement dalla risorsa principale. Se nessuna risorsa padre ha il tag enforcement, erediterà enforcement: default dalla risorsa dell'organizzazione.

L'utilizzo di un tag predefinito sicuro può essere utile, ma per evitare comportamenti indesiderati dovresti rivedere i tag e i criteri condizionali prima di spostare le risorse o rimuoverli.

Eliminazione di chiavi e valori dei tag

Quando si rimuove la definizione di un valore o una chiave tag, se il tag è associato a una risorsa, la rimozione non andrà a buon fine. Prima di eliminare la definizione del tag, devi eliminare i collegamenti di tag esistenti, denominati associazioni di tag.

Protezione dei valori dei tag dall'eliminazione

Puoi creare un ulteriore livello di protezione per i valori dei tag collegando un blocco tag a un valore di tag. Un blocco tag, come un'associazione di tag, impedisce a un utente di eliminare il valore tag.

Alcune risorse creano automaticamente un blocco tag per ogni valore tag associato alla risorsa. Questa conservazione tag deve essere rimossa prima che un utente possa eliminare il valore del tag.

Passaggi successivi