A hierarquia de recursos do Google Cloud é uma maneira de organizar seus recursos em uma estrutura em árvore. Essa hierarquia ajuda a gerenciar recursos em grande escala, mas modela apenas algumas dimensões de negócios, incluindo estrutura organizacional, regiões, tipos de carga de trabalho e centros de custo. A hierarquia não tem a flexibilidade de agrupar várias dimensões de negócios.
As tags fornecem uma maneira de criar anotações para recursos e, em alguns casos, permitir ou negar políticas condicionalmente com base em um recurso ter uma tag específica. Use tags e aplicação obrigatória condicional de políticas para ter um controle refinado em toda a hierarquia de recursos.
Tags e rótulos
Os rótulos são uma maneira separada de criar anotações para recursos. A tabela a seguir lista algumas das diferenças entre tags e rótulos:
Tags | Rótulos | |
---|---|---|
Estrutura de recursos | Chaves, valores e vinculações de tags são recursos diferentes | Não é um recurso em si, mas metadados para recursos |
Definição | Definida no nível da organização ou do projeto | Definido por cada recurso |
Controle de acesso | A gestão e o anexo de tags exigem papéis de gerenciamento de identidade e acesso (IAM) | A inclusão de rótulos requer papéis do IAM, que variam de acordo com o recurso do serviço. |
Pré-requisito para anexos | A chave e o valor da tag precisam ser definidos antes que uma tag seja anexada a um recurso | Não há pré-requisitos para o anexo |
Herança | As vinculações de tags são herdadas por filhos do recurso na hierarquia do Google Cloud | Não herdado pelos filhos do recurso |
Requisitos de exclusão | As tags não podem ser excluídas, a menos que não existam vinculações para essas tags | Pode ser removido de um recurso a qualquer momento |
Requisitos de nomenclatura | Requisitos para Valores de tag e Chaves de tag | Requisitos para marcadores |
Comprimento do nome de chave-valor | Máximo de 256 caracteres | Máximo de 63 caracteres |
Suporte às políticas do IAM | As tags podem ser referenciadas pelas condições da política do IAM | Sem suporte à política do IAM |
Suporte à política da organização | As tags em alguns recursos podem ser referenciadas pelas restrições condicionais da política da organização. | Sem suporte a políticas da organização |
Integração do Cloud Billing | Faça estornos, auditorias e outras análises de alocação de custos. Exporte os dados de custo do Cloud Billing para o BigQuery. | Filtrar recursos por rótulo no Cloud Billing, exportar dados do Cloud Billing para o BigQuery |
Para mais informações sobre rótulos, consulte Como criar e gerenciar rótulos.
Como criar tags
As tags são estruturadas como um par de chave-valor. Um recurso de chave de tag pode ser criado
da organização ou dos recursos do projeto, e valores de tag são recursos que
são anexadas a uma chave. Por exemplo, uma chave de tag environment
com valores
production
e development
.
Administração de tags
Os administradores controlam o uso de tags, restringindo quem pode criar, para atualizar, excluir e anexar tags aos recursos. Eles podem selecionar uma tag individual para fazer edições, como adicionar ou remover valores e atualizar a descrição. Isso permite o controle refinado das tags.
As tags podem receber uma descrição, que será exibida quando as informações sobre a tag forem recuperadas. Essa descrição garante que a pessoa que estiver anexando tag ao recurso entende a finalidade dessa tag.
Uma tag só pode ter um valor para uma determinada chave em um recurso específico. Por exemplo, um projeto com a chave de tag environment
e o valor production
não poderia ter também o valor development
para a chave environment
.
Políticas e Tags
Use tags com políticas compatíveis para aplicá-las condicionalmente. Torne a presença ou ausência de um valor de tag uma condição para essa política.
Por exemplo, é possível conceder condicionalmente papéis do Identity and Access Management (IAM) e negar condicionalmente as permissões do IAM dependendo de um recurso ter ou não uma tag específica.
Depois de criar uma tag, você pode aplicá-la aos recursos. Em seguida, você pode criar políticas condicionais, que dependem de uma tag estar anexada a uma tag compatível recurso. A política entrará em vigor com base na presença ou ausência do e tags anexadas aos recursos.
Para saber como usar tags com o gerenciamento de identidade e acesso (IAM, na sigla em inglês) para controlar o acesso aos recursos do Google Cloud, consulte Tags e controle de acesso.
Herança de tags
Quando um par de chave-valor de tag é anexado a um recurso, todos os descendentes a herdarem a tag. É possível substituir uma tag herdada em um recurso descendente. Para substituir uma tag herdada, aplique uma tag usando a mesma chave do tag herdada, mas usando um valor diferente.
Por exemplo, suponha que você aplique a tag environment: development
a uma pasta e que ela tenha duas pastas filho chamadas team-a
e team-b
. Também é possível aplicar uma tag diferente, environment: test
, à pasta team-b
. Como resultado, os projetos e outros recursos na pasta team-a
herdam a tag
environment: development
e projetos e outros recursos na pasta team-b
herdam a tagenvironment: test
:
Se você remover a tag environment: test
da pasta team-b
, essa pasta e os recursos dela herdarão a tag environment: development
.
Todas as tags anexadas e herdadas por um recurso são coletivamente chamadas de tags efetivas. As tags efetivas de um recurso são uma combinação das tags diretamente anexadas a ele, bem como todas as tags anexadas a todos os ancestrais do recurso em toda a hierarquia.
Ao usar tags para gerenciar políticas, é recomendável criar uma tag padrão segura.
Isso significa definir uma tag no nível do recurso da organização que será herdada em toda a hierarquia de recursos. Por exemplo, uma chave de tag com o nome curto enforcement
e os valores default
, on
ou off
. Se você definir enforcement: default
no nível da sua organização, essa tag seria herdada por todos os recursos, a menos que seja substituída em níveis inferiores.
Em seguida, crie políticas que abordem a chave de tag enforcement
, com
condições que afetariam um recurso se ele fosse enforcement: on
ou
enforcement: off
e um caso seguro se fosse enforcement: default
. Se a tag enforcement
fosse removida de um recurso, ela herdaria o valor da tag de enforcement
do recurso pai. Se nenhum recurso pai
tiver a tag enforcement
, ele herdaria enforcement: default
do
recurso da organização.
Usar uma tag padrão segura pode ajudar, mas, para evitar comportamentos não intencionais, você precisa revisar as tags e as políticas condicionais aplicadas antes de mover seus recursos ou remover tags.
Como excluir chaves e valores de tags
Ao remover uma chave de tag ou definição de valor, se essa tag estiver anexada a um recurso, a remoção falhará. Você precisa excluir os anexos de tag existentes, chamados de vinculações de tag, antes de excluir a definição da tag em si.
Proteção de valores de tags contra exclusão
Para criar uma camada adicional de proteção para os valores da tag, como anexar uma retenção de tag a um valor de tag. Uma retenção de tag, como uma vinculação, impede que uma usuário exclua o valor da tag.
Alguns recursos criam automaticamente uma retenção em cada valor de tag anexado ao recurso. Essa retenção de tag precisa ser removida antes que o usuário possa excluir o valor da tag.
A seguir
- Para obter mais informações sobre como usar tags, leia a página Criando e gerenciando tags.
- Para saber como usar tags com o Compute Engine, consulte Gerenciar tags de recursos.