Crear y gestionar etiquetas de recursos de VPC

Las redes de VPC usan los siguientes recursos que admiten etiquetas de Resource Manager:

Las etiquetas de Resource Manager son diferentes de las etiquetas de red. En este documento, el término etiquetas se usa para hacer referencia a las etiquetas de Gestor de recursos.

Para ver una lista de todos los servicios que admiten etiquetas, consulta Servicios que admiten etiquetas.

Para obtener información sobre cómo usar etiquetas en reglas de políticas de cortafuegos, consulta Etiquetas de cortafuegos.

Acerca de las etiquetas

Una etiqueta es un par clave-valor que se puede adjuntar a un recurso de Google Cloud. Puede usar etiquetas para permitir o denegar políticas de forma condicional en función de si un recurso tiene una etiqueta específica. Por ejemplo, puedes conceder roles de Gestión de Identidades y Accesos (IAM) de forma condicional en función de si un recurso tiene una etiqueta específica. Para obtener más información sobre las etiquetas, consulte el artículo Descripción general de las etiquetas.

Las etiquetas se adjuntan a los recursos creando un recurso de vinculación de etiquetas que vincula el valor al recurso. Google Cloud

Para agrupar recursos de VPC en una nube privada virtual con fines de automatización y facturación, usa etiquetas. Las etiquetas y los nombres funcionan de forma independiente y se pueden aplicar a los recursos.

Permisos obligatorios

Los permisos que necesitas dependen de la acción que quieras realizar.

Para obtener estos permisos, pide a tu administrador que te asigne el rol sugerido en el nivel adecuado de la jerarquía de recursos.

Ver etiquetas

Para ver las definiciones de etiquetas y las etiquetas que están asociadas a recursos, necesitas el rol Lector de etiquetas (roles/resourcemanager.tagViewer) u otro rol que incluya los siguientes permisos:

Permisos obligatorios

  • resourcemanager.tagKeys.get
  • resourcemanager.tagKeys.list
  • resourcemanager.tagValues.list
  • resourcemanager.tagValues.get
  • listTagBindings del tipo de recurso correspondiente. Por ejemplo, compute.instances.listTagBindings para ver las etiquetas asociadas a las instancias de Compute Engine.
  • listEffectiveTags
    • para el tipo de recurso adecuado. Por ejemplo, compute.instances.listEffectiveTags para ver todas las etiquetas asociadas a las instancias de Compute Engine o heredadas por ellas.

Para ver las etiquetas a nivel de organización, debes tener el rol Lector de organización (roles/resourcemanager.organizationViewer) en el recurso de organización.

Administrar etiquetas

Para crear, actualizar y eliminar definiciones de etiquetas, necesitas el rol Administrador de etiquetas (roles/resourcemanager.tagAdmin) u otro rol que incluya los siguientes permisos:

Permisos obligatorios

  • resourcemanager.tagKeys.create
  • resourcemanager.tagKeys.update
  • resourcemanager.tagKeys.delete
  • resourcemanager.tagKeys.list
  • resourcemanager.tagKeys.get
  • resourcemanager.tagKeys.getIamPolicy
  • resourcemanager.tagKeys.setIamPolicy
  • resourcemanager.tagValues.create
  • resourcemanager.tagValues.update
  • resourcemanager.tagValues.delete
  • resourcemanager.tagValues.list
  • resourcemanager.tagValues.get
  • resourcemanager.tagValues.getIamPolicy
  • resourcemanager.tagValues.setIamPolicy

Para administrar etiquetas a nivel de organización, debes tener el rol Lector de organización (roles/resourcemanager.organizationViewer) en el recurso de organización.

Gestionar etiquetas en recursos

Para añadir y quitar etiquetas asociadas a recursos, necesitas el rol Usuario de etiquetas (roles/resourcemanager.tagUser) u otro rol con permisos equivalentes en el valor de etiqueta y en los recursos a los que vas a asociar el valor de etiqueta. El rol Etiquetar usuario incluye los siguientes permisos:

Permisos obligatorios

  • Permisos necesarios para el recurso al que vas a adjuntar el valor de la etiqueta
    • Permiso createTagBinding específico de un recurso, como compute.instances.createTagBinding para las instancias de Compute Engine.
    • Permiso deleteTagBinding específico de un recurso, como compute.instances.deleteTagBinding para las instancias de Compute Engine.
  • Permisos necesarios para el valor de la etiqueta:
    • resourcemanager.tagValueBindings.create
    • resourcemanager.tagValueBindings.delete
  • Permisos que te permiten ver proyectos y definiciones de etiquetas:
    • resourcemanager.tagValues.get
    • resourcemanager.tagValues.list
    • resourcemanager.tagKeys.get
    • resourcemanager.tagKeys.list
    • resourcemanager.projects.get

Para adjuntar etiquetas a recursos de VPC, necesitas el rol Administrador de red de Compute (roles/compute.networkAdmin).

Crear claves y valores de etiquetas

Para poder adjuntar una etiqueta, primero debes crearla y configurar su valor. Para crear claves y valores de etiqueta, consulta Crear una etiqueta y Añadir un valor de etiqueta.

Añadir etiquetas durante la creación de recursos

Puedes añadir etiquetas al crear redes, subredes, rutas o reglas de cortafuegos de VPC. Si añades etiquetas durante la creación de recursos, podrás proporcionar al instante metadatos esenciales para tus recursos, así como mejorar la organización, el seguimiento de costes y la aplicación de políticas automatizada.

gcloud

Para adjuntar una etiqueta a un recurso durante la creación del recurso, añade la marca --resource-manager-tags con el comando create correspondiente. Por ejemplo, para adjuntar una etiqueta a una red, usa el siguiente comando:

gcloud compute networks create NETWORK_NAME \
    --resource-manager-tags=tagKeys/TAGKEY_ID=tagValues/TAGVALUE_ID

Haz los cambios siguientes:

  • NETWORK_NAME: el nombre de tu red
  • TAGKEY_ID: el ID numérico de la clave de la etiqueta
  • TAGVALUE_ID: el ID numérico permanente del valor de la etiqueta que se ha adjuntado. Por ejemplo: 4567890123.

Para especificar varias etiquetas, sepáralas con comas. Por ejemplo, TAGKEY1=TAGVALUE1,TAGKEY2=TAGVALUE2.

API

Envía una solicitud POST a la siguiente URL:

      POST https://compute.googleapis.com/compute/v1/projects/PROJECT/global/networks

Proporciona el siguiente JSON en el cuerpo de la solicitud:

      
    {
      "name": "NETWORK_NAME",
      "params": {
        "resourceManagerTags": {
          "tagKeys/TAGKEY_ID": "tagValues/TAGVALUE_ID",
        },
      }
      // Other fields omitted
    }

Haz los cambios siguientes:

  • NETWORK_NAME: el nombre de tu red
  • TAGKEY_ID: el ID numérico de la clave de la etiqueta
  • TAGVALUE_ID: el ID numérico permanente del valor de la etiqueta que se ha adjuntado. Por ejemplo: 4567890123.

Añadir etiquetas a recursos

Para añadir una etiqueta a recursos de VPC, sigue estos pasos:

gcloud

Para asociar una etiqueta a un recurso de VPC, debes crear un recurso de enlace de etiqueta mediante el comando gcloud resource-manager tags bindings create:

      gcloud resource-manager tags bindings create \
          --tag-value=TAGVALUE_NAME \
          --parent=RESOURCE_ID \
          --location=LOCATION

Haz los cambios siguientes:

  • TAGVALUE_NAME: el ID permanente o el nombre con espacio de nombres del valor de la etiqueta adjunta. Por ejemplo, tagValues/567890123456.
  • RESOURCE_ID es el ID completo del recurso, incluido el nombre de dominio de la API, para identificar el tipo de recurso (//compute.googleapis.com/). Debes usar los IDs numéricos de los recursos, no sus nombres. Por ejemplo, un ID de subred tiene un formato similar a este: //compute.googleapis.com/projects/123/regions/us-central1/subnetworks/456. Un ID de red tiene un formato similar al siguiente: //compute.googleapis.com/projects/123/global/networks/789
  • LOCATION: la ubicación de tu recurso. Si vas a asociar una etiqueta a un recurso global, como una carpeta o un proyecto, omite esta marca. Si vas a asociar una etiqueta a un recurso regional o zonal, debes especificar la ubicación. Por ejemplo, us-central1 (región) o us-central1-a (zona).

Mostrar las etiquetas asociadas a los recursos

Puede ver una lista de las vinculaciones de etiquetas adjuntas directamente al recurso de VPC o heredadas por él.

gcloud

Para obtener una lista de las vinculaciones de etiquetas asociadas a un recurso, usa el comando gcloud resource-manager tags bindings list:

      gcloud resource-manager tags bindings list \
          --parent=RESOURCE_ID \
          --location=LOCATION

Haz los cambios siguientes:

  • RESOURCE_ID es el ID completo del recurso, incluido el nombre de dominio de la API, para identificar el tipo de recurso (//compute.googleapis.com/). Debes usar los IDs numéricos de los recursos, no sus nombres. Por ejemplo, un ID de subred tiene un formato similar a este: //compute.googleapis.com/projects/123/regions/us-central1/subnetworks/456. Un ID de red tiene un formato similar al siguiente: //compute.googleapis.com/projects/123/global/networks/789
  • LOCATION: la ubicación de tu recurso. Si está viendo una etiqueta asociada a un recurso global, como una carpeta o un proyecto, omita esta marca. Si estás viendo una etiqueta adjunta a un recurso regional o zonal, debes especificar la ubicación. Por ejemplo, us-central1 (región) o us-central1-a (zona).

Deberías obtener una respuesta similar a la siguiente:

name: tagBindings/%2F%2Fcloudresourcemanager.googleapis.com%2Fprojects%2F7890123456/tagValues/567890123456
          tagValue: tagValues/567890123456
          resource: //compute.googleapis.com/projects/7890123456/subnetworks/subnetwork-ID

Desvincular etiquetas de recursos

Puede separar etiquetas que se hayan adjuntado directamente a un recurso de VPC. Las etiquetas heredadas se pueden anular adjuntando una etiqueta con la misma clave y un valor diferente, pero no se pueden separar.

gcloud

Para eliminar un enlace de etiqueta, usa el comando gcloud resource-manager tags bindings delete:

      gcloud resource-manager tags bindings delete \
          --tag-value=TAGVALUE_NAME \
          --parent=RESOURCE_ID \
          --location=LOCATION

Haz los cambios siguientes:

  • TAGVALUE_NAME: el ID permanente o el nombre con espacio de nombres del valor de la etiqueta adjunta. Por ejemplo, tagValues/567890123456.
  • RESOURCE_ID es el ID completo del recurso, incluido el nombre de dominio de la API, para identificar el tipo de recurso (//compute.googleapis.com/). Debes usar los IDs numéricos de los recursos, no sus nombres. Por ejemplo, un ID de subred tiene un formato similar a este: //compute.googleapis.com/projects/123/regions/us-central1/subnetworks/456. Un ID de red tiene un formato similar al siguiente: //compute.googleapis.com/projects/123/global/networks/789
  • LOCATION: la ubicación de tu recurso. Si vas a asociar una etiqueta a un recurso global, como una carpeta o un proyecto, omite esta marca. Si vas a asociar una etiqueta a un recurso regional o zonal, debes especificar la ubicación. Por ejemplo, us-central1 (región) o us-central1-a (zona).

Eliminar claves y valores de etiquetas

Cuando elimine una definición de clave o valor de etiqueta, asegúrese de que la etiqueta esté separada del recurso de VPC. Debes eliminar los archivos adjuntos de etiquetas, denominados enlaces de etiquetas, antes de eliminar la definición de la etiqueta. Para eliminar claves y valores de etiquetas, consulta Eliminar etiquetas.

Condiciones y etiquetas de gestión de identidades y accesos

Puedes usar etiquetas y condiciones de gestión de identidades y accesos para conceder enlaces de roles de forma condicional a los usuarios de tu jerarquía. Si se cambia o se elimina la etiqueta asociada a un recurso, se puede retirar el acceso de los usuarios a ese recurso si se ha aplicado una política de gestión de identidades y accesos con enlaces de roles condicionales. Para obtener más información, consulta Condiciones y etiquetas de Gestión de Identidades y Accesos.

Siguientes pasos