Crie e faça a gestão de etiquetas

Este guia descreve como criar e gerir etiquetas em segredos do Secret Manager. Pode usar etiquetas para agrupar segredos relacionados do Secret Manager e armazenar metadados sobre esses recursos com base nas respetivas etiquetas.

Acerca das etiquetas

Uma etiqueta é um par de chave-valor que pode anexar a um recurso em Google Cloud. Pode usar etiquetas para permitir ou recusar condicionalmente políticas com base no facto de um recurso ter uma etiqueta específica. Por exemplo, pode conceder condicionalmente funções de gestão de identidade e de acesso (IAM) com base no facto de um recurso ter uma etiqueta específica. Para mais informações sobre etiquetas, consulte o artigo Vista geral das etiquetas.

As etiquetas são anexadas aos recursos através da criação de um recurso de associação de etiquetas que associa o valor ao recurso Google Cloud .

Autorizações necessárias

As autorizações de que precisa dependem da ação que tem de realizar.

Para obter estas autorizações, peça ao administrador para conceder a função sugerida no nível adequado da hierarquia de recursos.

Ver etiquetas

Para ver as definições de etiquetas e as etiquetas anexadas a recursos, precisa da função Visualizador de etiquetas (roles/resourcemanager.tagViewer) ou de outra função que inclua as seguintes autorizações:

Autorizações necessárias

• resourcemanager.tagKeys.get
• resourcemanager.tagKeys.list
• resourcemanager.tagValues.list
• resourcemanager.tagValues.get
• listTagBindings para o tipo de recurso adequado. Por exemplo, compute.instances.listTagBindings para ver etiquetas anexadas a instâncias do Compute Engine.
• listEffectiveTags
para o tipo de recurso adequado. Por exemplo, compute.instances.listEffectiveTags para ver todas as etiquetas anexadas ou herdadas por instâncias do Compute Engine.

Para ver etiquetas ao nível da organização, precisa da função Visitante da organização (roles/resourcemanager.organizationViewer) no recurso da organização.

Administre etiquetas

Para criar, atualizar e eliminar definições de etiquetas, precisa da função de administrador de etiquetas (roles/resourcemanager.tagAdmin) ou de outra função que inclua as seguintes autorizações:

Autorizações necessárias

• resourcemanager.tagKeys.create
• resourcemanager.tagKeys.update
• resourcemanager.tagKeys.delete
• resourcemanager.tagKeys.list
• resourcemanager.tagKeys.get
• resourcemanager.tagKeys.getIamPolicy
• resourcemanager.tagKeys.setIamPolicy
• resourcemanager.tagValues.create
• resourcemanager.tagValues.update
• resourcemanager.tagValues.delete
• resourcemanager.tagValues.list
• resourcemanager.tagValues.get
• resourcemanager.tagValues.getIamPolicy
• resourcemanager.tagValues.setIamPolicy

Para administrar etiquetas ao nível da organização, precisa da função de Leitor da organização (roles/resourcemanager.organizationViewer) no recurso da organização.

Faça a gestão de etiquetas em recursos

Para adicionar e remover etiquetas anexadas a recursos, precisa da função Utilizador de etiquetas (roles/resourcemanager.tagUser) ou de outra função com autorizações equivalentes, no valor da etiqueta e nos recursos aos quais está a anexar o valor da etiqueta. A função Utilizador da etiqueta inclui as seguintes autorizações:

Autorizações necessárias

• Autorizações necessárias para o recurso ao qual está a anexar o valor da etiqueta
• Autorização createTagBinding específica do recurso, como compute.instances.createTagBinding para instâncias do Compute Engine.
• Autorização deleteTagBinding específica do recurso, como compute.instances.deleteTagBinding para instâncias do Compute Engine.
• Autorizações necessárias para o valor da etiqueta:
• resourcemanager.tagValueBindings.create
• resourcemanager.tagValueBindings.delete
• Autorizações que lhe permitem ver projetos e definições de etiquetas:
• resourcemanager.tagValues.get
• resourcemanager.tagValues.list
• resourcemanager.tagKeys.get
• resourcemanager.tagKeys.list
• resourcemanager.projects.get

Para anexar etiquetas a segredos do Gestor Secreto, precisa da função de administrador do Gestor Secreto (roles/secretmanager.admin).

Crie chaves e valores de etiquetas

Antes de poder anexar uma etiqueta, tem de criar uma etiqueta e configurar o respetivo valor. Para criar chaves de etiquetas e valores de etiquetas, consulte os artigos Criar uma etiqueta e Adicionar um valor de etiqueta.

Adicione etiquetas durante a criação de recursos

Pode adicionar etiquetas no momento da criação de segredos. A adição de etiquetas durante a criação de recursos permite-lhe fornecer instantaneamente metadados essenciais para os seus recursos e também ajuda a melhorar a organização, o acompanhamento de custos e a aplicação automática de políticas.

Consola

1. Aceda à página Secret Manager na Google Cloud consola.

Aceda ao Secret Manager

2. Selecione a opção para criar um novo secret.
3. Clique em Gerir etiquetas.
4. Se a sua organização não aparecer no painel Gerir etiquetas, clique em Selecionar âmbito. Opte por adicionar etiquetas definidas ao nível da organização ou do projeto e, em seguida, introduza o ID das mesmas.
5. Clique em Adicionar etiqueta.
6. Selecione a chave da etiqueta que quer anexar na lista. Pode filtrar a lista escrevendo palavras-chave.
7. Selecione o valor da etiqueta que quer anexar na lista. Pode filtrar a lista escrevendo palavras-chave.
8. Clique em Guardar. A secção Etiquetas é atualizada com as informações das etiquetas.
9. Crie o seu segredo. O novo Secret é criado com as etiquetas fornecidas.

gcloud

Para adicionar etiquetas durante a criação do segredo, execute o seguinte comando:

       gcloud secrets create SECRET_ID --tags=TAG_KEY=TAG_VALUE
     

Substitua o seguinte:

• SECRET_ID: o identificador exclusivo do segredo
• TAG_KEY: o ID permanente ou o nome com espaço de nomes da chave de etiqueta anexada, por exemplo, tagKeys/567890123456
• TAG_VALUE: o ID permanente ou o nome com espaço de nomes do valor da etiqueta anexado, por exemplo, tagValues/567890123456

Especifique várias etiquetas separando-as com uma vírgula, por exemplo, TAGKEY1=TAGVALUE1,TAGKEY2=TAGVALUE2

API

Envie um pedido POST para o seguinte URL:

      https://secretmanager.googleapis.com/v1/projects/PROJECT_ID/secrets?secretId=SECRET_ID

Forneça o seguinte JSON no corpo do pedido:

      
{
  "replication": {
    "automatic": {}
  },
  "tags": {
    "TAGKEY_NAME": "TAGVALUE_NAME"
  }
}

Substitua o seguinte:

• PROJECT_ID: o ID do projeto
• SECRET_ID: o identificador exclusivo do segredo
• TAGKEY_NAME: o ID permanente ou o nome com espaço de nomes da chave de etiqueta anexada, por exemplo, tagKeys/567890123456
• TAGVALUE_NAME: o ID permanente ou o nome com espaço de nomes do valor da etiqueta anexado, por exemplo, tagValues/567890123456

Adicione etiquetas a recursos existentes

Para adicionar uma etiqueta a segredos existentes, siga estes passos:

Consola

1. Aceda à página Secret Manager na Google Cloud consola.

Aceda ao Secret Manager

2. Selecione o segredo ao qual quer anexar uma etiqueta.
3. Clique em Etiquetas.
4. Se a sua organização não aparecer no painel Etiquetas, clique em Selecionar âmbito. Selecione a sua organização e clique em Abrir.
5. Clique em Adicionar etiqueta.
6. Selecione a chave da etiqueta que quer anexar na lista. Pode filtrar a lista escrevendo palavras-chave.
7. Selecione o valor da etiqueta que quer anexar na lista. Pode filtrar a lista escrevendo palavras-chave.
8. Clique em Guardar.
9. Na caixa de diálogo Confirmar, clique em Confirmar para anexar a etiqueta.

É apresentada uma notificação a confirmar que as etiquetas foram atualizadas.

gcloud

Para anexar uma etiqueta a um segredo, tem de criar um recurso de associação de etiquetas através do comando gcloud resource-manager tags bindings create:

      gcloud resource-manager tags bindings create \
          --tag-value=TAGVALUE_NAME \
          --parent=RESOURCE_ID
      

Substitua o seguinte:

• TAGVALUE_NAME: o ID permanente ou o nome com espaço de nomes do valor da etiqueta anexado, por exemplo, tagValues/567890123456.
• RESOURCE_ID é o ID completo do recurso, incluindo o nome do domínio da API para identificar o tipo de recurso (//secretmanager.googleapis.com/). Por exemplo, para anexar uma etiqueta a /projects/PROJECT_ID/secrets/SECRET_ID, o ID completo é //secretmanager.googleapis.com/projects/PROJECT_ID/secrets/SECRET_ID.

Liste as etiquetas anexadas aos recursos

Pode ver uma lista de associações de etiquetas anexadas diretamente ao segredo ou herdadas pelo mesmo.

Consola

1. Aceda à página Secret Manager na Google Cloud consola.

Aceda ao Secret Manager

2. As etiquetas são apresentadas na coluna Etiquetas do segredo.

gcloud

Para obter uma lista de associações de etiquetas anexadas a um recurso, use o comando gcloud resource-manager tags bindings list:

      gcloud resource-manager tags bindings list \
          --parent=RESOURCE_ID
      

Substitua o seguinte:

• RESOURCE_ID é o ID completo do recurso, incluindo o nome do domínio da API para identificar o tipo de recurso (//secretmanager.googleapis.com/). Por exemplo, para anexar uma etiqueta a /projects/PROJECT_ID/secrets/SECRET_ID, o ID completo é //secretmanager.googleapis.com/projects/PROJECT_ID/secrets/SECRET_ID.

Deve receber uma resposta semelhante à seguinte:

name: tagBindings/%2F%2Fcloudresourcemanager.googleapis.com%2Fprojects%2F7890123456/tagValues/567890123456
          tagValue: tagValues/567890123456
          resource: //secretmanager.googleapis.com/projects/project-abc/secrets/secret-xyz
      

Desassocie etiquetas de recursos

Pode desanexar etiquetas que tenham sido anexadas diretamente a um segredo. As etiquetas herdadas podem ser substituídas anexando uma etiqueta com a mesma chave e um valor diferente, mas não podem ser desanexadas.

Consola

1. Aceda à página Secret Manager na Google Cloud consola.

Aceda ao Secret Manager

2. Selecione o segredo do qual quer remover uma etiqueta.
3. Clique em Etiquetas.
4. No painel Etiquetas, junto à etiqueta que quer desassociar, clique em Eliminar item.
5. Clique em Guardar.
6. Na caixa de diálogo Confirmar, clique em Confirmar para desanexar a etiqueta.

É apresentada uma notificação a confirmar que as etiquetas foram atualizadas.

gcloud

Para eliminar uma associação de etiqueta, use o comando: gcloud resource-manager tags bindings delete

      gcloud resource-manager tags bindings delete \
          --tag-value=TAGVALUE_NAME \
          --parent=RESOURCE_ID
      

Substitua o seguinte:

• TAGVALUE_NAME: o ID permanente ou o nome com espaço de nomes do valor da etiqueta anexado, por exemplo, tagValues/567890123456.
• RESOURCE_ID é o ID completo do recurso, incluindo o nome do domínio da API para identificar o tipo de recurso (//secretmanager.googleapis.com/). Por exemplo, para anexar uma etiqueta a /projects/PROJECT_ID/secrets/SECRET_ID, o ID completo é //secretmanager.googleapis.com/projects/PROJECT_ID/secrets/SECRET_ID.

Elimine chaves e valores de etiquetas

Quando remover uma definição de chave ou valor de etiqueta, certifique-se de que a etiqueta está desassociada do segredo. Tem de eliminar as associações de etiquetas existentes, denominadas associações de etiquetas, antes de eliminar a própria definição de etiqueta. Para eliminar chaves de etiquetas e valores de etiquetas, consulte o artigo Eliminar etiquetas.

Condições e etiquetas da gestão de identidade e de acesso

Pode usar etiquetas e condições da IAM para conceder condicionalmente associações de funções a utilizadores na sua hierarquia. A alteração ou a eliminação da etiqueta anexada a um recurso pode remover o acesso do utilizador a esse recurso se tiver sido aplicada uma política do IAM com associações de funções condicionais. Para mais informações, consulte o artigo Condições e etiquetas da gestão de identidade e de acesso.

O que se segue?

• Consulte os outros serviços que suportam etiquetas.
• Consulte o artigo Etiquetas e controlo de acesso para saber como usar etiquetas com a IAM.