Creazione e gestione di tag per risorse VPC
Le reti VPC utilizzano le seguenti risorse che supportano i tag Resource Manager:
- Reti
- Subnet
- Route
- Regole firewall VPC
- Criteri firewall di rete globali
- Criteri firewall di rete a livello di regione
I tag di Resource Manager sono diversi dai tag di rete. In questo documento, il termine tag viene utilizzato per fare riferimento ai tag di Resource Manager.
Per un elenco di tutti i servizi che supportano i tag, vedi Servizi che supportano i tag.
Per informazioni sull'utilizzo dei tag nelle regole di criteri firewall, consulta Tag per firewall.
Informazioni sui tag
Un tag è una coppia chiave-valore che può essere collegata a una risorsa all'interno di Google Cloud. Puoi utilizzare i tag per consentire o negare in modo condizionale i criteri a seconda che una risorsa abbia un tag specifico. Ad esempio, puoi concedere in modo condizionale i ruoli IAM (Identity and Access Management) a seconda che una risorsa abbia un tag specifico. Per ulteriori informazioni sui tag, consulta la sezione Panoramica dei tag.
I tag vengono collegati alle risorse creando una risorsa di associazione di tag che collega il valore alla risorsa Google Cloud.
Per raggruppare le risorse VPC all'interno di Virtual Private Cloud ai fini dell'automazione e della fatturazione, utilizza le etichette. I tag e le etichette funzionano in modo indipendente l'uno dall'altro e puoi applicarli entrambi alle risorse.Autorizzazioni obbligatorie
Le autorizzazioni necessarie dipendono dall'azione che devi eseguire.
Per ottenere queste autorizzazioni, chiedi all'amministratore di concedere il ruolo suggerito al livello appropriato della gerarchia delle risorse.
Visualizza tag
Per visualizzare le definizioni dei tag e i tag collegati alle risorse, devi disporre del ruolo Visualizzatore tag (roles/resourcemanager.tagViewer
) o di un altro ruolo che includa le seguenti autorizzazioni:
Autorizzazioni obbligatorie
resourcemanager.tagKeys.get
resourcemanager.tagKeys.list
resourcemanager.tagValues.list
resourcemanager.tagValues.get
listTagBindings
per il tipo di risorsa appropriato. Ad esempio,compute.instances.listTagBindings
per visualizzare i tag associati alle istanze di Compute Engine.listEffectiveTags
per il tipo di risorsa appropriato.
Ad esempio,
compute.instances.listEffectiveTags
per visualizzare tutti i tag collegati o ereditati dalle istanze di Compute Engine.
Per visualizzare i tag a livello di organizzazione, devi disporre del ruolo Visualizzatore organizzazione (roles/resourcemanager.organizationViewer
) nella risorsa organizzazione.
Amministrazione dei tag
Per creare, aggiornare ed eliminare le definizioni dei tag, devi disporre del ruolo Amministratore tag (roles/resourcemanager.tagAdmin
) o di un altro ruolo che includa le seguenti autorizzazioni:
Autorizzazioni obbligatorie
resourcemanager.tagKeys.create
resourcemanager.tagKeys.update
resourcemanager.tagKeys.delete
resourcemanager.tagKeys.list
resourcemanager.tagKeys.get
resourcemanager.tagKeys.getIamPolicy
resourcemanager.tagKeys.setIamPolicy
resourcemanager.tagValues.create
resourcemanager.tagValues.update
resourcemanager.tagValues.delete
resourcemanager.tagValues.list
resourcemanager.tagValues.get
resourcemanager.tagValues.getIamPolicy
resourcemanager.tagValues.setIamPolicy
Per amministrare i tag a livello di organizzazione, devi disporre del ruolo Visualizzatore organizzazione (roles/resourcemanager.organizationViewer
) nella risorsa organizzazione.
Gestisci i tag sulle risorse
Per aggiungere e rimuovere i tag collegati alle risorse, devi disporre del ruolo Utente tag (roles/resourcemanager.tagUser
) o di un altro ruolo con autorizzazioni equivalenti, sia per il valore tag sia per le risorse a cui stai collegando il valore tag. Il ruolo Utente tag include le seguenti autorizzazioni:
Autorizzazioni obbligatorie
- Autorizzazioni richieste per la risorsa a cui stai collegando il valore tag
- Autorizzazione
createTagBinding
specifica della risorsa, ad esempiocompute.instances.createTagBinding
per le istanze di Compute Engine. - Autorizzazione
deleteTagBinding
specifica della risorsa, ad esempiocompute.instances.deleteTagBinding
per le istanze di Compute Engine. - Autorizzazioni richieste per il valore tag:
resourcemanager.tagValueBindings.create
resourcemanager.tagValueBindings.delete
- Autorizzazioni che consentono di visualizzare i progetti e le definizioni dei tag:
resourcemanager.tagValues.get
resourcemanager.tagValues.list
resourcemanager.tagKeys.get
resourcemanager.tagKeys.list
resourcemanager.projects.get
Per collegare i tag alle risorse VPC, devi disporre del ruolo Amministratore rete Compute (roles/compute.networkAdmin
).
Creare chiavi e valori dei tag
Prima di poter collegare un tag, devi creare un tag e configurarne il valore. Per creare chiavi e valori tag per i tag, consulta gli articoli Creazione di un tag e Aggiunta di un valore tag.
Collega un tag a una risorsa VPC
Dopo aver creato il tag, devi collegarlo a una risorsa VPC.
gcloud
Per collegare un tag a una risorsa VPC, devi creare una risorsa di associazione di tag utilizzando il comando gcloud resource-manager tags bindings create
:
gcloud resource-manager tags bindings create \ --tag-value=TAGVALUE_NAME \ --parent=RESOURCE_ID \ --location=LOCATION
Sostituisci quanto segue:
TAGVALUE_NAME
: l'ID permanente o il nome con spazio dei nomi del valore tag associato, ad esempio:tagValues/567890123456
.-
RESOURCE_ID
è l'ID completo della risorsa, incluso il nome di dominio dell'API per identificare il tipo di risorsa (//compute.googleapis.com/
). Devi utilizzare gli ID numerici per le risorse, non i loro nomi. Ad esempio, un ID subnet ha un formato simile al seguente://compute.googleapis.com/projects/123/regions/us-central1/subnetworks/456
. Un ID rete ha un formato simile al seguente://compute.googleapis.com/projects/123/global/networks/789
LOCATION
: la località della risorsa. Se colleghi un tag a una risorsa globale, come una cartella o un progetto, devi omettere questo flag. Se colleghi un tag a una risorsa di regione o zona, devi specificare la località, ad esempio:us-central1
(regione) ous-central1-a
(zona).
Elenca tag collegati a una risorsa VPC
Puoi visualizzare un elenco di associazioni di tag direttamente collegate o ereditate dalla risorsa VPC.
gcloud
Per ottenere un elenco delle associazioni di tag collegate a una risorsa, utilizza il comando gcloud resource-manager tags bindings list
:
gcloud resource-manager tags bindings list \ --parent=RESOURCE_ID \ --location=LOCATION
Sostituisci quanto segue:
-
RESOURCE_ID
è l'ID completo della risorsa, incluso il nome di dominio dell'API per identificare il tipo di risorsa (//compute.googleapis.com/
). Devi utilizzare gli ID numerici per le risorse, non i loro nomi. Ad esempio, un ID subnet ha un formato simile al seguente://compute.googleapis.com/projects/123/regions/us-central1/subnetworks/456
. Un ID rete ha un formato simile al seguente://compute.googleapis.com/projects/123/global/networks/789
LOCATION
: la località della risorsa. Se stai visualizzando un tag associato a una risorsa globale, come una cartella o un progetto, devi omettere questo flag. Se stai visualizzando un tag associato a una risorsa di regione o zona, devi specificare la località, ad esempio:us-central1
(regione) ous-central1-a
(zona).
Dovresti ricevere una risposta simile alla seguente:
name: tagBindings/%2F%2Fcloudresourcemanager.googleapis.com%2Fprojects%2F7890123456/tagValues/567890123456 tagValue: tagValues/567890123456 resource: //compute.googleapis.com/projects/7890123456/subnetworks/subnetwork-ID
Scollega i tag da una risorsa VPC
Puoi scollegare i tag collegati direttamente a una risorsa VPC. I tag ereditati possono essere sostituiti collegando un tag con la stessa chiave e un valore diverso, ma non possono essere scollegati. Prima di poter eliminare un tag, devi scollegare la relativa chiave e i relativi valori da ogni risorsa a cui è collegato.
gcloud
Per eliminare un'associazione di tag, utilizza il comando gcloud resource-manager tags bindings delete
:
gcloud resource-manager tags bindings delete \ --tag-value=TAGVALUE_NAME \ --parent=RESOURCE_ID \ --location=LOCATION
Sostituisci quanto segue:
TAGVALUE_NAME
: l'ID permanente o il nome con spazio dei nomi del valore tag associato, ad esempio:tagValues/567890123456
.-
RESOURCE_ID
è l'ID completo della risorsa, incluso il nome di dominio dell'API per identificare il tipo di risorsa (//compute.googleapis.com/
). Devi utilizzare gli ID numerici per le risorse, non i loro nomi. Ad esempio, un ID subnet ha un formato simile al seguente://compute.googleapis.com/projects/123/regions/us-central1/subnetworks/456
. Un ID rete ha un formato simile al seguente://compute.googleapis.com/projects/123/global/networks/789
LOCATION
: la località della risorsa. Se colleghi un tag a una risorsa globale, come una cartella o un progetto, devi omettere questo flag. Se colleghi un tag a una risorsa di regione o zona, devi specificare la località, ad esempio:us-central1
(regione) ous-central1-a
(zona).
Elimina chiavi e valori tag
Quando rimuovi una chiave o una definizione del valore del tag, assicurati che il tag sia scollegato dalla risorsa VPC. Prima di eliminare la definizione del tag, devi eliminare gli allegati di tag esistenti, chiamati associazioni di tag. Per eliminare le chiavi e i valori dei tag, consulta Eliminazione dei tag.
Condizioni e tag di Identity and Access Management
Puoi utilizzare i tag e le condizioni IAM per concedere in modo condizionale le associazioni di ruoli agli utenti nella gerarchia. La modifica o l'eliminazione del tag associato a una risorsa può comportare la rimozione dell'accesso utente alla risorsa se è stato applicato un criterio IAM con associazioni di ruoli condizionali. Per ulteriori informazioni, vedi Condizioni e tag di Identity and Access Management.
Passaggi successivi
- Consulta gli altri servizi che supportano i tag.
- Per scoprire come utilizzare i tag con IAM, consulta Tag e controllo dell'accesso.