Controlar o acesso e organizar instâncias com tags

Nesta página, descrevemos como usar as tags do Google Cloud para gerenciar o acesso às instâncias do Spanner.

Uma tag do Google Cloud é um par de chave-valor que pode ser anexado aos recursos do Google Cloud, como projetos ou instâncias do Spanner. É possível usá-las para agrupar e organizar as instâncias e definir condicionalmente as políticas de acesso do Identity and Access Management (IAM) com base no fato de uma instância ter ou não uma tag específica. É possível criar e gerenciar tags de instância do Spanner usando a Google Cloud CLI ou o console do Google Cloud. Depois de criar as tags, é possível criar uma vinculação de tags para anexar aos recursos do Google Cloud. As vinculações de tags são herdadas pelos filhos do recurso de acordo com a hierarquia de recursos do Google Cloud. Por exemplo, se você anexar uma tag ao projeto, todas as instâncias desse projeto a herdarão. Também é possível usar rótulos para organizar os recursos do Google Cloud, mas não para definir condições nas políticas do IAM.

Para saber mais sobre tags, consulte Visão geral de tags.

Casos de uso comuns para tags de instância do Spanner

Alguns casos de uso comuns para tags incluem:

Tags do Identity and Access Management (IAM):conceda papéis do Identity and Access Management (IAM) com base no fato de uma instância ter ou não uma tag específica. A presença ou ausência de um valor de tag é a condição para essa política do IAM e ajuda a controlar o acesso à instância do Spanner.
Tags de estado:indique e gerencie o estado de uma instância criando tags. Por exemplo, state:active, state:todelete e state:archive.
Tags de ambiente:especifique os ambientes de produção, teste e desenvolvimento das instâncias criando pares de chave-valor como env:prod, env:dev e env:test.

Como criar e gerenciar tags de instância do Spanner

As tags são estruturadas como pares de chave-valor. Você cria uma chave de tag no recurso da sua organização e, em seguida, anexa valores a ela (por exemplo, uma chave de tag environment com os valores prod e dev). É possível criar uma vinculação de tag que associe o valor da tag a um recurso do Google Cloud, como um projeto ou uma instância do Spanner. Não é possível atribuir uma tag a um banco de dados.

Permissões necessárias

As permissões necessárias dependem da ação que você precisa realizar. Para mais informações, consulte Permissões necessárias na documentação do Resource Manager.

Criar chaves e valores de tags

Antes de anexar uma tag à instância, crie a tag e atribua o valor dela. Para criar chaves e valores de tag, consulte Como criar uma tag e Como adicionar um valor de tag.

Anexar uma tag a uma instância

Depois de criar os pares de chave-valor da tag, crie uma vinculação de tag e anexe-a à instância do Spanner.

Console

No Console do Google Cloud, acesse a página Instâncias do Spanner.

Acessar "Instâncias do Spanner"
Selecione a instância à qual você quer anexar uma tag.
Clique em Tags.
Se a organização não aparecer no painel Tags, clique em Selecionar escopo. Selecione sua organização e clique em Abrir.
No painel "Tags", selecione Adicionar tag.
No campo Chave, selecione na lista a chave da tag que você quer anexar. Filtre a lista digitando palavras-chave.
No campo Valor, selecione na lista o valor da tag que você quer anexar. Filtre a lista digitando palavras-chave.
Para anexar mais tags, clique em Adicionar tag e selecione a chave e o valor de cada uma.
Clique em Save.
Na caixa de diálogo Confirmar, clique em Confirmar para anexar a tag.

Uma notificação confirma que suas tags foram atualizadas.

gcloud

Para criar uma vinculação de tag e anexá-la à instância, execute o seguinte comando:

gcloud resource-manager tags bindings create
--parent=//spanner.googleapis.com/projects/PROJECT_ID/instances/INSTANCE_ID
--tag-value=ORG_ID/KEY_NAME/VALUE_NAME
--location=LOCATION

PROJECT_ID: o ID do projeto
INSTANCE_ID: o ID da instância.
ORG_ID: o ID da organização.
KEY_NAME: o nome de exibição (curto) da chave de tag. Por exemplo, env.
VALUE_NAME: o nome de exibição (curto) do valor da tag. Por exemplo, prod.
LOCATION: o local da instância. Por exemplo, us-east1.

Por exemplo, para criar uma vinculação de tag na instância do Spanner my-instance com o par de chave-valor de tag env:prod, execute o seguinte comando:

gcloud resource-manager tags bindings create
--parent=//spanner.googleapis.com/projects/my-project/instances/my-instance
--tag-value=123456789012/env/prod
--location=us-east1

Condições e tags do IAM

É possível usar tags e condições do IAM para conceder condicionalmente vinculações de papéis aos usuários. Se uma política do IAM com vinculações de papéis condicionais for aplicada, alterar ou excluir a tag anexada a um recurso poderá remover o acesso do usuário a ele.

Para mais informações, consulte a Visão geral das condições do IAM.

Console

Para usar tags para conceder condicionalmente vinculações de papéis aos usuários, consulte Como gerenciar o acesso a tags.

gcloud

Para aplicar uma condição baseada em tags a uma política do IAM, verifique se você tem as permissões necessárias e execute o seguinte comando:

gcloud organizations add-iam-policy-binding ORG_ID
--role=roles/ROLE --member=PRINCIPAL
--condition=resource.matchTag('PROJECT_ID/KEY_NAME', 'VALUE_NAME')

ORG_ID: o ID da organização.
ROLE: o nome do papel a ser atribuído ao principal. O nome do papel é o caminho completo de um papel predefinido, como roles/logging.viewer, ou o ID de um papel personalizado, como organizations/{ORG_ID}/roles/logging.viewer.
PRINCIPAL: o principal em que você quer adicionar a vinculação de papel. Ele precisa estar no formato user|group|serviceAccount:email ou domain:domain. Por exemplo, user:test-user@gmail.com, group:admins@example.com, serviceAccount:test123@example.domain.com ou domain:example.domain.com.
PROJECT_ID: o ID do projeto
KEY_NAME: o nome de exibição (curto) da chave de tag. Por exemplo, env.
VALUE_NAME: o nome de exibição (curto) do valor da tag. Por exemplo, prod.

Esse comando adiciona uma vinculação de política do IAM à política do IAM de uma organização. Uma vinculação de política consiste em um membro, um papel e uma condição opcional.

Por exemplo, para conceder condicionalmente a user1@example.com o papel spanner.backupAdmin em todos os recursos do projeto 123456789012 com a tag env:prod, execute o comando:

gcloud organizations add-iam-policy-binding my-project
--member=user1@example.com --role=roles/spanner.backupAdmin
--condition=resource.matchTag('123456789012/env', 'prod')

Listar tags anexadas a uma instância

Você pode ver uma lista de vinculações de tags diretamente anexadas ou herdadas pela instância.

gcloud

Para ver uma lista de vinculações de tags anexadas a um recurso, use o comando gcloud resource-manager tags bindings list: Se você adicionar a flag --effective, também vai receber todas as vinculações de tag herdadas por esse recurso.

Para listar todas as vinculações de tags anexadas a uma instância, execute o seguinte comando:

gcloud resource-manager tags bindings list
--parent=//spanner.googleapis.com/projects/PROJECT_ID/instances/INSTANCE_ID
--location=LOCATION
--effective

PROJECT_ID: o ID do projeto
INSTANCE_ID: o ID da instância.
LOCATION: o local da instância. Por exemplo, us-east1.

Excluir uma vinculação de tag

Ao remover uma chave de tag ou uma definição de valor, verifique se a tag está separada da instância. Exclua as vinculações atuais antes de excluir a tag.

Console

No Console do Google Cloud, acesse a página Instâncias do Spanner.

Acessar "Instâncias do Spanner"
Selecione a instância em que você quer excluir uma vinculação de tag.
Clique em Tags.
No painel "Tags", ao lado da tag que você quer remover, clique em Excluir item.
Clique em Save.
Na caixa de diálogo Confirmar, clique em Confirmar para remover a tag.

Uma notificação confirma que suas tags foram atualizadas.

gcloud

Para excluir uma vinculação de tag, execute o seguinte comando:

gcloud resource-manager tags bindings delete
--parent=//spanner.googleapis.com/projects/PROJECT_ID/instances/INSTANCE_ID
--tag-value=ORG_ID/KEY_NAME/KEY_VALUE
--location=LOCATION

PROJECT_ID: o ID do projeto
INSTANCE_ID: o ID da instância.
ORG_ID: o ID da organização.
KEY_NAME: o nome de exibição (curto) da chave de tag. Por exemplo, env.
VALUE_NAME: o nome de exibição (curto) do valor da tag. Por exemplo, prod.
LOCATION: o local da instância. Por exemplo, us-east1.

Excluir uma tag

Depois de excluir a vinculação de tags, você poderá remover sua tag. Para excluir chaves e valores de tag, consulte Como excluir tags.

A seguir

Saiba mais sobre as tags do Google Cloud.
Saiba mais sobre como criar e gerenciar tags nas instâncias do Spanner usando o Resource Manager.
Saiba mais sobre os rótulos, outra maneira de organizar os recursos do Google Cloud.
Saiba mais sobre como criar políticas de permissão do IAM com condições.