La gerarchia delle risorse di Google Cloud è un modo per organizzare le risorse in una struttura ad albero. Questa gerarchia consente di gestire le risorse su larga scala, ma modella solo alcune dimensioni aziendali, tra cui struttura organizzativa, regioni, tipi di carico di lavoro e centri di costo. La gerarchia non ha la flessibilità necessaria per sovrapporre più dimensioni aziendali.
I tag forniscono un modo per creare annotazioni per le risorse e, in alcuni casi, consentono o negano in modo condizionale i criteri a seconda che una risorsa abbia un tag specifico. Puoi utilizzare i tag e l'applicazione condizionale dei criteri per avere un controllo granulare in tutta la gerarchia delle risorse.
Tag ed etichette
Le etichette sono un modo separato per creare annotazioni per le risorse. Nella tabella seguente sono elencate alcune delle differenze tra tag ed etichette:
Tag | Etichette | |
---|---|---|
Struttura delle risorse | Le chiavi tag, i valori dei tag e le associazioni di tag sono risorse discrete | Non una risorsa in sé, ma i metadati delle risorse |
Definizione | Definite a livello di organizzazione o di progetto | Definite da ogni risorsa |
Controllo dell'accesso | La gestione e il collegamento dei tag richiedono ruoli IAM (Identity and Access Management) | L'allegato delle etichette richiede ruoli IAM, che variano in base alla risorsa del servizio. |
Prerequisito per l'allegato | La chiave e il valore del tag devono essere definiti prima che un tag possa essere associato a una risorsa | Nessun prerequisito per l'allegato |
Ereditarietà | Le associazioni di tag vengono ereditate dagli elementi figlio della risorsa nella gerarchia di Google Cloud | Non ereditati dagli elementi figlio della risorsa |
Requisiti per l'eliminazione | I tag non possono essere eliminati a meno che non esistano associazioni di tag per i tag in questione | Possono essere rimossi da una risorsa in qualsiasi momento |
Requisiti per la denominazione | Requisiti per Valori tag e chiavi tag | Requisiti per le etichette |
Lunghezza del nome chiave/valore | Massimo 256 caratteri | Massimo 63 caratteri |
Supporto dei criteri IAM | È possibile fare riferimento ai tag tramite le condizioni dei criteri IAM | Nessun supporto per i criteri IAM |
Assistenza per i criteri dell'organizzazione | I vincoli condizionali dei criteri dell'organizzazione possono fare riferimento ai tag su alcune risorse | Nessun supporto per i criteri dell'organizzazione |
Integrazione della fatturazione Cloud | Esegui storni di addebito, controlli e altre analisi di allocazione dei costi, esporta i dati di costo della fatturazione Cloud in BigQuery | Filtra le risorse per etichetta in fatturazione Cloud, esporta i dati di fatturazione Cloud in BigQuery |
Per ulteriori informazioni sulle etichette, consulta Creazione e gestione delle etichette.
Creazione di tag
I tag sono strutturati come coppia chiave-valore. Puoi creare una risorsa chiave tag nelle risorse dell'organizzazione o del progetto, mentre i valori dei tag sono risorse collegate a una chiave. Ad esempio, una chiave tag environment
con valori
production
e development
.
Amministrazione dei tag
Gli amministratori possono controllare l'utilizzo dei tag limitando gli utenti che possono creare, aggiornare, eliminare e collegare i tag alle risorse. Possono selezionare un singolo tag per apportare modifiche, ad esempio aggiungere o rimuovere valori, e aggiornare la descrizione. Ciò consente un controllo granulare dei tag.
Ai tag può essere fornita una descrizione, che verrà visualizzata quando vengono recuperate le informazioni relative al tag. Questa descrizione garantisce che chi collega il tag alla risorsa ne capisca lo scopo.
Un tag può avere sempre un solo valore per una determinata chiave in una particolare risorsa. Ad esempio, un progetto con la chiave tag environment
e il valore production
potrebbe non avere anche il valore development
per la chiave environment
.
Criteri e tag
Puoi utilizzare i tag con criteri che li supportano per applicare questi criteri in modo condizionale. Puoi impostare la presenza o l'assenza di un valore di tag come condizione per il criterio.
Ad esempio, puoi concedere in modo condizionale i ruoli IAM (Identity and Access Management) e negare in modo condizionale le autorizzazioni IAM a seconda che una risorsa abbia un tag specifico.
Dopo aver creato un tag, puoi applicarlo alle risorse. Puoi quindi creare criteri condizionali in base al fatto che un tag sia associato a una risorsa supportata. Il criterio verrà applicato in base alla presenza o all'assenza di tag collegati alle risorse.
Per informazioni su come utilizzare i tag con Identity and Access Management (IAM) per controllare l'accesso alle tue risorse Google Cloud, consulta Tag e controllo dell'accesso.
Eredità dei tag
Quando una coppia chiave-valore del tag è collegata a una risorsa, tutti i relativi discendenti ereditano il tag. Puoi eseguire l'override di un tag ereditato su una risorsa discendente. Per sostituire un tag ereditato, applica un tag utilizzando la stessa chiave del tag ereditato, ma utilizza un valore diverso.
Ad esempio, supponi di applicare il tag environment: development
a una cartella e che quest'ultima abbia due cartelle secondarie denominate team-a
e team-b
. Puoi anche applicare
un tag diverso, environment: test
, alla cartella team-b
. Di conseguenza, i progetti e altre risorse nella cartella team-a
ereditano il tag environment: development
, mentre i progetti e le altre risorse nella cartella team-b
ereditano il tag environment: test
:
Se rimuovi il tag environment: test
dalla cartella team-b
, quella
cartella e le relative risorse erediteranno il tag environment: development
.
Tutti i tag associati a ed ereditati da una risorsa vengono denominati collettivamente tag effettivi. I tag effettivi per una risorsa sono una combinazione dei tag collegati direttamente alla risorsa, nonché di tutti i tag associati a tutti i predecessori della risorsa in tutta la gerarchia.
Quando utilizzi i tag per gestire i criteri, ti consigliamo di creare un tag predefinito sicuro.
Ciò significa impostare un tag a livello della risorsa dell'organizzazione che verrà quindi ereditato in tutta la gerarchia delle risorse. Ad esempio, una chiave tag con nome breve enforcement
e valori default
, on
o off
. Se imposti enforcement: default
a livello di organizzazione, il tag viene ereditato da tutte le risorse, a meno che non venga sostituito ai livelli inferiori.
Potresti quindi scrivere criteri che gestiscono la chiave tag enforcement
, con
condizioni che influirebbero su una risorsa se è enforcement: on
o
enforcement: off
e un caso sicuro se è enforcement: default
. Se il tag enforcement
venisse rimosso da una risorsa, questo erediterà il valore del tag enforcement
dalla risorsa principale. Se nessuna risorsa padre ha il tag enforcement
, erediterà enforcement: default
dalla risorsa dell'organizzazione.
L'utilizzo di un tag predefinito sicuro può essere utile, ma per evitare comportamenti indesiderati dovresti rivedere i tag e i criteri condizionali prima di spostare le risorse o rimuoverli.
Eliminazione di chiavi e valori dei tag
Quando si rimuove la definizione di un valore o una chiave tag, se il tag è associato a una risorsa, la rimozione non andrà a buon fine. Prima di eliminare la definizione del tag, devi eliminare i collegamenti di tag esistenti, denominati associazioni di tag.
Protezione dei valori dei tag dall'eliminazione
Puoi creare un ulteriore livello di protezione per i valori dei tag collegando un blocco tag a un valore di tag. Un blocco tag, come un'associazione di tag, impedisce a un utente di eliminare il valore tag.
Alcune risorse creano automaticamente un blocco tag per ogni valore tag associato alla risorsa. Questa conservazione tag deve essere rimossa prima che un utente possa eliminare il valore del tag.
Passaggi successivi
- Per ulteriori informazioni su come utilizzare i tag, consulta la pagina Creazione e gestione dei tag.
- Per informazioni sull'utilizzo dei tag con Compute Engine, consulta Gestire i tag per le risorse.