Creazione e gestione di tag

Questa guida descrive come creare e gestire i tag nei secret di Secret Manager. Puoi utilizzare i tag per raggruppare i secret di Secret Manager correlati e memorizzare i metadati di queste risorse in base ai tag.

Informazioni sui tag

Un tag è una coppia chiave-valore che può essere collegata a una risorsa all'interno di Google Cloud. Puoi utilizzare i tag per consentire o negare in modo condizionale i criteri a seconda che una risorsa abbia un tag specifico. Ad esempio, puoi concedere in modo condizionale ruoli Identity and Access Management (IAM) a seconda che una risorsa abbia un tag specifico. Per saperne di più sui tag, consulta la panoramica dei tag.

I tag vengono collegati alle risorse creando una risorsa di associazione dei tag che collega il valore alla Google Cloud risorsa.

Autorizzazioni obbligatorie

Le autorizzazioni necessarie dipendono dall'azione che devi eseguire.

Per ottenere queste autorizzazioni, chiedi all'amministratore di concedere il ruolo suggerito al livello appropriato della gerarchia delle risorse.

Visualizzare i tag

Per visualizzare le definizioni dei tag e i tag collegati alle risorse, devi disporre del ruolo Visualizzatore tag (roles/resourcemanager.tagViewer) o di un altro ruolo che includa le seguenti autorizzazioni:

Autorizzazioni obbligatorie

  • resourcemanager.tagKeys.get
  • resourcemanager.tagKeys.list
  • resourcemanager.tagValues.list
  • resourcemanager.tagValues.get
  • listTagBindings per il tipo di risorsa appropriato. Ad esempio, compute.instances.listTagBindings per visualizzare i tag collegati alle istanze Compute Engine.
  • listEffectiveTags
    • per il tipo di risorsa appropriato. Ad esempio, compute.instances.listEffectiveTags per visualizzare tutti i tag collegati o ereditati dalle istanze Compute Engine.

Per visualizzare i tag a livello di organizzazione, devi disporre del ruolo Visualizzatore organizzazione (roles/resourcemanager.organizationViewer) per la risorsa organizzazione.

Amministrare i tag

Per creare, aggiornare ed eliminare le definizioni dei tag, devi disporre del ruolo Amministratore tag (roles/resourcemanager.tagAdmin) o di un altro ruolo che includa le seguenti autorizzazioni:

Autorizzazioni obbligatorie

  • resourcemanager.tagKeys.create
  • resourcemanager.tagKeys.update
  • resourcemanager.tagKeys.delete
  • resourcemanager.tagKeys.list
  • resourcemanager.tagKeys.get
  • resourcemanager.tagKeys.getIamPolicy
  • resourcemanager.tagKeys.setIamPolicy
  • resourcemanager.tagValues.create
  • resourcemanager.tagValues.update
  • resourcemanager.tagValues.delete
  • resourcemanager.tagValues.list
  • resourcemanager.tagValues.get
  • resourcemanager.tagValues.getIamPolicy
  • resourcemanager.tagValues.setIamPolicy

Per amministrare i tag a livello di organizzazione, devi disporre del ruolo Visualizzatore organizzazione (roles/resourcemanager.organizationViewer) per la risorsa organizzazione.

Gestire i tag sulle risorse

Per aggiungere e rimuovere i tag collegati alle risorse, devi disporre del ruolo Utente tag (roles/resourcemanager.tagUser) o di un altro ruolo con autorizzazioni equivalenti sia per il valore tag sia per le risorse a cui stai collegando il valore tag. Il ruolo Tagga utente include le seguenti autorizzazioni:

Autorizzazioni obbligatorie

  • Autorizzazioni richieste per la risorsa a cui stai collegando il valore del tag
    • Autorizzazione createTagBinding specifica per la risorsa, ad esempio compute.instances.createTagBinding per le istanze di Compute Engine.
    • Autorizzazione deleteTagBinding specifica per la risorsa, ad esempio compute.instances.deleteTagBinding per le istanze di Compute Engine.
  • Autorizzazioni richieste per il valore tag:
    • resourcemanager.tagValueBindings.create
    • resourcemanager.tagValueBindings.delete
  • Autorizzazioni che consentono di visualizzare i progetti e le definizioni dei tag:
    • resourcemanager.tagValues.get
    • resourcemanager.tagValues.list
    • resourcemanager.tagKeys.get
    • resourcemanager.tagKeys.list
    • resourcemanager.projects.get

Per collegare tag ai secret di Secret Manager, devi disporre del ruolo Amministratore Secret Manager (roles/secretmanager.admin).

Creare chiavi e valori dei tag

Prima di poter allegare un tag, devi crearne uno e configurarne il valore. Per creare chiavi e valori tag, consulta Creazione di un tag e Aggiunta di un valore tag.

Aggiungere tag durante la creazione della risorsa

Puoi aggiungere tag al momento della creazione dei secret. L'aggiunta di tag durante la creazione delle risorse ti consente di fornire immediatamente metadati essenziali per le tue risorse e aiuta anche a migliorare l'organizzazione, il monitoraggio dei costi e l'applicazione automatica dei criteri.

Console

  1. Vai alla pagina Secret Manager nella console Google Cloud .

    2. Vai a Secret Manager

  2. Seleziona l'opzione per creare un nuovo secret.
  3. Fai clic su Gestisci i tag.
  4. Se la tua organizzazione non viene visualizzata nel riquadro Gestisci tag, fai clic su Seleziona ambito. Scegli di aggiungere tag definiti a livello di organizzazione o di progetto, quindi inserisci l'ID corrispondente.
  5. Fai clic su Aggiungi tag.
  6. Seleziona dall'elenco la chiave del tag che vuoi allegare. Puoi filtrare l'elenco digitando parole chiave.
  7. Seleziona dall'elenco il valore del tag che vuoi allegare. Puoi filtrare l'elenco digitando parole chiave.
  8. Fai clic su Salva. La sezione Tag viene aggiornata con le informazioni sui tag.
  9. Crea il secret. Il nuovo secret viene creato con i tag forniti.

gcloud

Per aggiungere tag durante la creazione di secret, esegui questo comando:

       gcloud secrets create SECRET_ID --tags=TAG_KEY=TAG_VALUE

Sostituisci quanto segue:

  • SECRET_ID: l'identificatore univoco del secret
  • TAG_KEY: l'ID permanente o il nome con spazio dei nomi della chiave tag allegata, ad esempio tagKeys/567890123456
  • TAG_VALUE: l'ID permanente o il nome spazio dei nomi del valore del tag allegato, ad esempio tagValues/567890123456

Specifica più tag separandoli con una virgola, ad esempio TAGKEY1=TAGVALUE1,TAGKEY2=TAGVALUE2

API

Invia una richiesta POST al seguente URL:

      https://secretmanager.googleapis.com/v1/projects/PROJECT_ID/secrets?secretId=SECRET_ID

Fornisci il seguente JSON nel corpo della richiesta:

      
{
  "replication": {
    "automatic": {}
  },
  "tags": {
    "TAGKEY_NAME": "TAGVALUE_NAME"
  }
}

Sostituisci quanto segue:

  • PROJECT_ID: l'ID progetto
  • SECRET_ID: l'identificatore univoco del secret
  • TAGKEY_NAME: l'ID permanente o il nome con spazio dei nomi della chiave tag allegata, ad esempio tagKeys/567890123456
  • TAGVALUE_NAME: l'ID permanente o il nome spazio dei nomi del valore del tag allegato, ad esempio tagValues/567890123456

Aggiungere tag alle risorse esistenti

Per aggiungere un tag ai secret esistenti:

Console

  1. Vai alla pagina Secret Manager nella console Google Cloud .

    2. Vai a Secret Manager

  2. Seleziona il secret a cui vuoi aggiungere un tag.
  3. Fai clic su Tag.
  4. Se la tua organizzazione non viene visualizzata nel riquadro Tag, fai clic su Seleziona ambito. Seleziona la tua organizzazione e fai clic su Apri.
  5. Fai clic su Aggiungi tag.
  6. Seleziona dall'elenco la chiave del tag che vuoi allegare. Puoi filtrare l'elenco digitando parole chiave.
  7. Seleziona dall'elenco il valore del tag che vuoi allegare. Puoi filtrare l'elenco digitando parole chiave.
  8. Fai clic su Salva.
  9. Nella finestra di dialogo Conferma, fai clic su Conferma per allegare il tag.

    10. Una notifica conferma che i tag sono stati aggiornati.

gcloud

Per collegare un tag a un secret, devi creare una risorsa di associazione tag utilizzando il comando gcloud resource-manager tags bindings create:

      gcloud resource-manager tags bindings create \
          --tag-value=TAGVALUE_NAME \
          --parent=RESOURCE_ID

Sostituisci quanto segue:

  • TAGVALUE_NAME: l'ID permanente o il nome con spazio dei nomi del valore tag allegato, ad esempio tagValues/567890123456.
  • RESOURCE_ID è l'ID completo della risorsa, incluso il nome di dominio dell'API per identificare il tipo di risorsa (//secretmanager.googleapis.com/). Ad esempio, per allegare un tag a /projects/PROJECT_ID/secrets/SECRET_ID, l'ID completo è //secretmanager.googleapis.com/projects/PROJECT_ID/secrets/SECRET_ID.

Elenca i tag collegati alle risorse

Puoi visualizzare un elenco di associazioni di tag direttamente collegate al secret o ereditate da quest'ultimo.

Console

  1. Vai alla pagina Secret Manager nella console Google Cloud .

    2. Vai a Secret Manager

  2. I tag vengono visualizzati nella colonna Tag del segreto.

gcloud

Per ottenere un elenco di associazioni di tag collegate a una risorsa, utilizza il comando gcloud resource-manager tags bindings list:

      gcloud resource-manager tags bindings list \
          --parent=RESOURCE_ID

Sostituisci quanto segue:

  • RESOURCE_ID è l'ID completo della risorsa, incluso il nome di dominio dell'API per identificare il tipo di risorsa (//secretmanager.googleapis.com/). Ad esempio, per allegare un tag a /projects/PROJECT_ID/secrets/SECRET_ID, l'ID completo è //secretmanager.googleapis.com/projects/PROJECT_ID/secrets/SECRET_ID.

Dovresti ricevere una risposta simile alla seguente:

name: tagBindings/%2F%2Fcloudresourcemanager.googleapis.com%2Fprojects%2F7890123456/tagValues/567890123456
          tagValue: tagValues/567890123456
          resource: //secretmanager.googleapis.com/projects/project-abc/secrets/secret-xyz

Scollegare i tag dalle risorse

Puoi scollegare i tag che sono stati collegati direttamente a un secret. I tag ereditati possono essere sostituiti collegando un tag con la stessa chiave e un valore diverso, ma non possono essere scollegati.

Console

  1. Vai alla pagina Secret Manager nella console Google Cloud .

    2. Vai a Secret Manager

  2. Seleziona il secret da cui vuoi rimuovere un tag.
  3. Fai clic su Tag.
  4. Nel riquadro Tag, accanto al tag da scollegare, fai clic su Elimina elemento.
  5. Fai clic su Salva.
  6. Nella finestra di dialogo Conferma, fai clic su Conferma per staccare il tag.

Una notifica conferma che i tag sono stati aggiornati.

gcloud

Per eliminare un'associazione di tag, utilizza il comando gcloud resource-manager tags bindings delete:

      gcloud resource-manager tags bindings delete \
          --tag-value=TAGVALUE_NAME \
          --parent=RESOURCE_ID

Sostituisci quanto segue:

  • TAGVALUE_NAME: l'ID permanente o il nome con spazio dei nomi del valore tag allegato, ad esempio tagValues/567890123456.
  • RESOURCE_ID è l'ID completo della risorsa, incluso il nome di dominio dell'API per identificare il tipo di risorsa (//secretmanager.googleapis.com/). Ad esempio, per allegare un tag a /projects/PROJECT_ID/secrets/SECRET_ID, l'ID completo è //secretmanager.googleapis.com/projects/PROJECT_ID/secrets/SECRET_ID.

Eliminare chiavi e valori dei tag

Quando rimuovi una definizione di chiave o valore tag, assicurati che il tag sia scollegato dal secret. Prima di eliminare la definizione del tag, devi eliminare gli allegati esistenti, chiamati associazioni di tag. Per eliminare chiavi tag e valori tag, consulta la sezione Eliminare i tag.

Condizioni e tag di Identity and Access Management

Puoi utilizzare i tag e le condizioni IAM per concedere in modo condizionale le associazioni di ruoli agli utenti della gerarchia. La modifica o l'eliminazione del tag associato a una risorsa può rimuovere l'accesso utente a quella risorsa se è stata applicata una policy IAM con associazioni di ruoli condizionali. Per maggiori informazioni, consulta Condizioni e tag di Identity and Access Management.

Passaggi successivi