Este guia descreve como criar e gerenciar tags em secrets do Secret Manager. É possível usar tags para agrupar secrets relacionados do Secret Manager e armazenar metadados sobre esses recursos com base nas tags deles.
Sobre as tags
Uma tag é um par de chave-valor que pode ser anexado a um recurso no Google Cloud. É possível usar tags para permitir ou negar políticas condicionalmente com base no fato de um recurso ter uma tag específica ou não. Por exemplo, é possível conceder condicionalmente papéis do Identity and Access Management (IAM) com base no fato de um recurso ter uma tag específica ou não. Para mais informações sobre tags, consulte Visão geral de tags.
As tags são anexadas aos recursos criando um recurso de vinculação de tags que vincula o valor ao recurso Google Cloud .
Permissões necessárias
As permissões necessárias dependem da ação que você precisa realizar.
Para receber essas permissões, peça ao administrador para conceder o papel sugerido no nível apropriado da hierarquia de recursos.
Visualizar tags
Para visualizar as definições de tag e tags anexadas aos recursos, você precisa do papel
Visualizador de tags (roles/resourcemanager.tagViewer
) ou de outro papel que
inclua as seguintes permissões:
Permissões necessárias
resourcemanager.tagKeys.get
resourcemanager.tagKeys.list
resourcemanager.tagValues.list
resourcemanager.tagValues.get
listTagBindings
para o tipo de recurso apropriado. Por exemplo,compute.instances.listTagBindings
para visualizar as tags anexadas a instâncias do Compute Engine.listEffectiveTags
para o tipo de recurso apropriado.
Por exemplo,
compute.instances.listEffectiveTags
para visualizar
todas as tags anexadas ou herdadas pelas instâncias do Compute Engine.
Para visualizar as tags no nível da organização, é preciso ter o papel de Visualizador da organização
(roles/resourcemanager.organizationViewer
) no recurso da organização.
Administrar tags
Para criar, atualizar e excluir definições de tag, você precisa do papel Administrador de tags (roles/resourcemanager.tagAdmin
) ou de outro papel que inclua as seguintes permissões:
Permissões necessárias
resourcemanager.tagKeys.create
resourcemanager.tagKeys.update
resourcemanager.tagKeys.delete
resourcemanager.tagKeys.list
resourcemanager.tagKeys.get
resourcemanager.tagKeys.getIamPolicy
resourcemanager.tagKeys.setIamPolicy
resourcemanager.tagValues.create
resourcemanager.tagValues.update
resourcemanager.tagValues.delete
resourcemanager.tagValues.list
resourcemanager.tagValues.get
resourcemanager.tagValues.getIamPolicy
resourcemanager.tagValues.setIamPolicy
Para administrar tags no nível da organização, você precisa do papel de Visualizador da organização (roles/resourcemanager.organizationViewer
) no recurso da organização.
Gerenciar tags em recursos
Para adicionar e remover tags anexadas a recursos, você precisa do papel Usuário da tag
(roles/resourcemanager.tagUser
) ou de outro papel com permissões equivalentes,
no valor da tag e nos recursos que você está anexando ao valor da tag. O papel Tag User inclui as seguintes permissões:
Permissões necessárias
- As permissões necessárias para o recurso ao qual você está anexando o valor da tag
- Permissão
createTagBinding
específica do recurso, comocompute.instances.createTagBinding
para instâncias do Compute Engine - Permissão
deleteTagBinding
específica do recurso, comocompute.instances.deleteTagBinding
para instâncias do Compute Engine - As permissões necessárias para o valor da tag:
resourcemanager.tagValueBindings.create
resourcemanager.tagValueBindings.delete
- Permissões que permitem visualizar projetos e definições de tags:
resourcemanager.tagValues.get
resourcemanager.tagValues.list
resourcemanager.tagKeys.get
resourcemanager.tagKeys.list
resourcemanager.projects.get
Para anexar tags a secrets do Secret Manager, você precisa do papel Administrador do Secret Manager (roles/secretmanager.admin
).
Criar chaves e valores de tags
Antes de anexar uma tag, é preciso criá-la e configurar o valor dela. Para criar chaves e valores de tag, consulte Como criar uma tag e Como adicionar um valor de tag.
Adicionar tags durante a criação de recursos
É possível adicionar tags ao criar secrets. Ao adicionar tags durante a criação de recursos, você fornece instantaneamente metadados essenciais para eles e também ajuda na organização, no rastreamento de custos e na aplicação automatizada de políticas.
Console
- Acesse a página Secret Manager no console Google Cloud .
- Selecione a opção para criar um novo secret.
- Clique em Gerenciar tags.
- Se a organização não aparecer no painel Gerenciar tags, clique em Selecionar escopo. Adicione tags definidas no nível da organização ou do projeto e insira o ID delas.
- Clique em Adicionar tag.
- Selecione na lista a chave da tag que você quer anexar. Para filtrar a lista, digite palavras-chave.
- Selecione na lista o valor da tag que você quer anexar. Para filtrar a lista, digite palavras-chave.
- Clique em Salvar. A seção Tags é atualizada com as informações das tags.
- Crie seu secret. O novo Secret é criado com as tags fornecidas.
gcloud
Para adicionar tags durante a criação de secret, execute o seguinte comando:
gcloud secrets create SECRET_ID --tags=TAG_KEY=TAG_VALUE
Substitua:
- SECRET_ID: o identificador exclusivo do secret
- TAG_KEY: o ID permanente ou o nome do namespace da chave de tag anexada, por exemplo, "tagKeys/567890123456"
- TAG_VALUE: o ID permanente ou o nome do namespace do valor da tag anexado. Por exemplo, tagValues/567890123456
Especifique várias tags separando-as por vírgula, por exemplo, TAGKEY1=TAGVALUE1,TAGKEY2=TAGVALUE2
API
Envie uma solicitação POST
para o seguinte URL:
https://secretmanager.googleapis.com/v1/projects/PROJECT_ID/secrets?secretId=SECRET_ID
Forneça o seguinte JSON no corpo da solicitação:
{ "replication": { "automatic": {} }, "tags": { "TAGKEY_NAME": "TAGVALUE_NAME" } }
Substitua:
- PROJECT_ID: o ID do projeto
- SECRET_ID: o identificador exclusivo do secret
- TAGKEY_NAME: o ID permanente ou o nome do namespace da chave de tag anexada, por exemplo, tagKeys/567890123456
- TAGVALUE_NAME: o ID permanente ou o nome do namespace do valor da tag anexado. Por exemplo, tagValues/567890123456
Adicionar tags a recursos atuais
Para adicionar uma tag a secrets atuais, siga estas etapas:
Console
- Acesse a página Secret Manager no console Google Cloud .
- Selecione o secret a que você quer anexar uma tag.
- Clique em Tags.
- Se a organização não aparecer no painel Tags, clique em Selecionar escopo. Selecione sua organização e clique em Abrir.
- Clique em Adicionar tag.
- Selecione na lista a chave da tag que você quer anexar. Para filtrar a lista, digite palavras-chave.
- Selecione na lista o valor da tag que você quer anexar. Você pode filtrar a lista digitando palavras-chave.
- Clique em Salvar.
- Na caixa de diálogo Confirmar, clique em Confirmar para anexar a tag.
Uma notificação confirma que suas tags foram atualizadas.
gcloud
Para anexar uma tag a um secret, crie um
recurso de vinculação de tag usando o
comando gcloud resource-manager tags bindings create
:
gcloud resource-manager tags bindings create \ --tag-value=TAGVALUE_NAME \ --parent=RESOURCE_ID
Substitua:
TAGVALUE_NAME
é o ID permanente ou o nome do namespace do valor da tag anexado; por exemplo:tagValues/567890123456
.-
RESOURCE_ID
é o ID completo do recurso, incluindo o nome de domínio da API para identificar o tipo de recurso (//secretmanager.googleapis.com/
). Por exemplo, para anexar uma tag a/projects/PROJECT_ID/secrets/SECRET_ID
, o ID completo é//secretmanager.googleapis.com/projects/PROJECT_ID/secrets/SECRET_ID
.
Listar tags anexadas a recursos
É possível ver uma lista de vinculações de tags anexadas diretamente ou herdadas pelo secret.
Console
- Acesse a página Secret Manager no console Google Cloud .
- As tags são mostradas na coluna Tags do secret.
gcloud
Para ver uma lista de vinculações de tags anexadas a um recurso, use o
comando gcloud resource-manager tags bindings list
:
gcloud resource-manager tags bindings list \ --parent=RESOURCE_ID
Substitua:
-
RESOURCE_ID
é o ID completo do recurso, incluindo o nome de domínio da API para identificar o tipo de recurso (//secretmanager.googleapis.com/
). Por exemplo, para anexar uma tag a/projects/PROJECT_ID/secrets/SECRET_ID
, o ID completo é//secretmanager.googleapis.com/projects/PROJECT_ID/secrets/SECRET_ID
.
Você receberá uma resposta semelhante a esta:
name: tagBindings/%2F%2Fcloudresourcemanager.googleapis.com%2Fprojects%2F7890123456/tagValues/567890123456 tagValue: tagValues/567890123456 resource: //secretmanager.googleapis.com/projects/project-abc/secrets/secret-xyz
Remover tags de recursos
É possível desanexar tags que foram anexadas diretamente a um secret. As tags herdadas podem ser substituídas anexando uma tag com a mesma chave e um valor diferente, mas não podem ser removidas.
Console
- Acesse a página Secret Manager no console Google Cloud .
- Selecione o secret de que você quer remover uma tag.
- Clique em Tags.
- No painel Tags, ao lado da tag que você quer remover, clique em Excluir item.
- Clique em Salvar.
- Na caixa de diálogo Confirmar, clique em Confirmar para remover a tag.
Uma notificação confirma que suas tags foram atualizadas.
gcloud
Para excluir uma vinculação de tag, use o
comando gcloud resource-manager tags bindings delete
:
gcloud resource-manager tags bindings delete \ --tag-value=TAGVALUE_NAME \ --parent=RESOURCE_ID
Substitua:
TAGVALUE_NAME
é o ID permanente ou o nome do namespace do valor da tag anexado; por exemplo:tagValues/567890123456
.-
RESOURCE_ID
é o ID completo do recurso, incluindo o nome de domínio da API para identificar o tipo de recurso (//secretmanager.googleapis.com/
). Por exemplo, para anexar uma tag a/projects/PROJECT_ID/secrets/SECRET_ID
, o ID completo é//secretmanager.googleapis.com/projects/PROJECT_ID/secrets/SECRET_ID
.
Excluir chaves e valores de tags
Ao remover uma chave de tag ou uma definição de valor, verifique se a tag está separada do secret. Você precisa excluir os anexos de tag, chamados de vinculações de tag, antes de excluir a definição da tag. Para excluir chaves e valores de tags, consulte Como excluir tags.
Condições e tags do Identity and Access Management
Você pode usar tags e condições do IAM para conceder vinculações de papéis condicionalmente aos usuários na sua hierarquia. Alterar ou excluir a tag anexada a um recurso removerá o acesso do usuário a esse recurso se uma política do IAM com vinculações de papéis condicionais tiver sido aplicada. Para mais informações, consulte Condições e tags do Identity and Access Management.
A seguir
- Veja os outros serviços que têm suporte a tags.
- Consulte Tags e controle de acesso para ver como usar tags com o IAM.