Creare e gestire tag per le risorse VPC

Le reti VPC utilizzano le seguenti risorse che supportano i tag Resource Manager:

I tag di Resource Manager sono diversi dai tag di rete. In questo documento, Il termine tag viene utilizzato per fare riferimento ai tag di Resource Manager.

Per un elenco di tutti i servizi che supportano i tag, consulta Servizi che supportano i tag.

Per informazioni sull'utilizzo dei tag nelle regole dei criteri firewall, consulta Tag per i firewall.

Informazioni sui tag

Un tag è una coppia chiave-valore collegabile a una risorsa all'interno in Google Cloud. Puoi utilizzare i tag per consentire o negare in modo condizionale i criteri in base se una risorsa ha un tag specifico. Ad esempio, puoi concedere in modo condizionale I ruoli IAM (Identity and Access Management) si basano sulla presenza o meno di un tag specifico per una risorsa. Per ulteriori informazioni sui tag, consulta Panoramica dei tag.

I tag vengono associati alle risorse creando una risorsa di associazione dei tag che collega il valore alla risorsa Google Cloud.

Raggruppare le risorse VPC in Virtual Private Cloud per l'automazione e ai fini di fatturazione, utilizza le etichette. Tag e funzionano indipendentemente l'una dall'altra ed è possibile applicare entrambe alle risorse.

Autorizzazioni obbligatorie

Le autorizzazioni necessarie dipendono dall'azione da eseguire.

Per ottenere queste autorizzazioni, chiedi all'amministratore di concedere il ruolo suggerito al livello appropriato della gerarchia delle risorse.

Visualizza tag

Per visualizzare le definizioni dei tag e i tag associati alle risorse, devi disporre del ruolo Visualizzatore tag (roles/resourcemanager.tagViewer) o di un altro ruolo che includa le seguenti autorizzazioni:

Autorizzazioni obbligatorie

  • resourcemanager.tagKeys.get
  • resourcemanager.tagKeys.list
  • resourcemanager.tagValues.list
  • resourcemanager.tagValues.get
  • listTagBindings per il tipo di risorsa appropriato. Per esempio, compute.instances.listTagBindings per visualizzare i tag collegate alle istanze Compute Engine.
  • listEffectiveTags
    • per il tipo di risorsa appropriato. Ad esempio, compute.instances.listEffectiveTags per la visualizzazione tutti i tag associati o ereditati dalle istanze Compute Engine.

Per visualizzare i tag a livello di organizzazione, devi disporre del ruolo Visualizzatore organizzazione (roles/resourcemanager.organizationViewer) per la risorsa dell'organizzazione.

Amministra i tag

Per creare, aggiornare ed eliminare le definizioni dei tag, devi disporre dei seguenti Ruolo di Amministratore tag (roles/resourcemanager.tagAdmin) o un altro ruolo che include le seguenti autorizzazioni:

Autorizzazioni obbligatorie

  • resourcemanager.tagKeys.create
  • resourcemanager.tagKeys.update
  • resourcemanager.tagKeys.delete
  • resourcemanager.tagKeys.list
  • resourcemanager.tagKeys.get
  • resourcemanager.tagKeys.getIamPolicy
  • resourcemanager.tagKeys.setIamPolicy
  • resourcemanager.tagValues.create
  • resourcemanager.tagValues.update
  • resourcemanager.tagValues.delete
  • resourcemanager.tagValues.list
  • resourcemanager.tagValues.get
  • resourcemanager.tagValues.getIamPolicy
  • resourcemanager.tagValues.setIamPolicy

Per amministrare i tag a livello di organizzazione, devi disporre del ruolo Visualizzatore organizzazione (roles/resourcemanager.organizationViewer) per la risorsa organizzazione.

Gestire i tag nelle risorse

Per aggiungere e rimuovere i tag collegati alle risorse, devi disporre del ruolo Tag User (roles/resourcemanager.tagUser) o un altro ruolo con equivalente sia per il valore del tag sia per le risorse che stai collegando il valore del tag in. Il ruolo Tagga utente include le seguenti autorizzazioni:

Autorizzazioni obbligatorie

  • Autorizzazioni richieste per la risorsa a cui stai associando il valore del tag
    • Autorizzazione createTagBinding specifica della risorsa, ad esempio compute.instances.createTagBinding per Compute Engine di Compute Engine.
    • Autorizzazione deleteTagBinding specifica per risorsa, ad esempio compute.instances.deleteTagBinding per le istanze di Compute Engine.
  • Autorizzazioni richieste per il valore del tag:
    • resourcemanager.tagValueBindings.create
    • resourcemanager.tagValueBindings.delete
  • Autorizzazioni che consentono di visualizzare progetti e definizioni di tag:
    • resourcemanager.tagValues.get
    • resourcemanager.tagValues.list
    • resourcemanager.tagKeys.get
    • resourcemanager.tagKeys.list
    • resourcemanager.projects.get

Per associare i tag alle risorse VPC, devi avere il ruolo Amministratore di rete Compute (roles/compute.networkAdmin).

Creare chiavi e valori dei tag

Prima di poter collegare un tag, devi crearne uno e configurarne il valore. Per creare chiavi e valori di tag, consulta Creazione di un tag e Aggiunta di un valore del tag.

Collega un tag a una risorsa VPC

Dopo aver creato il tag, devi collegarlo a di una risorsa VPC.

gcloud

Per associare un tag a una risorsa VPC, devi creare una risorsa di associazione dei tag utilizzando il comando gcloud resource-manager tags bindings create:

      gcloud resource-manager tags bindings create \
          --tag-value=TAGVALUE_NAME \
          --parent=RESOURCE_ID \
          --location=LOCATION

Sostituisci quanto segue:

  • TAGVALUE_NAME: l'ID permanente o il nome nello spazio dei nomi del valore del tag associato, ad esempio tagValues/567890123456.
  • RESOURCE_ID è l'ID completo della risorsa, inclusa l'API nome di dominio per identificare il tipo di risorsa (//compute.googleapis.com/). Tu devono utilizzare gli ID numerici delle risorse, non i loro nomi. Ad esempio, un ID sottorete ha un formato simile al seguente://compute.googleapis.com/projects/123/regions/us-central1/subnetworks/456. Un ID rete ha un formato simile al seguente://compute.googleapis.com/projects/123/global/networks/789
  • LOCATION: il località della risorsa. Se colleghi un tag a una risorsa globale, come una cartella o un progetto, ometti questo flag. Se colleghi un tag a una risorsa regionale o di zona, devi specificare la località, ad esempio us-central1 (regione) o us-central1-a (zona).

Elenca i tag associati a una risorsa VPC

Puoi visualizzare un elenco di associazioni di tag direttamente associate o ereditate dalla risorsa VPC.

gcloud

Per ottenere un elenco di associazioni di tag associate a una risorsa, utilizza il comando gcloud resource-manager tags bindings list:

      gcloud resource-manager tags bindings list \
          --parent=RESOURCE_ID \
          --location=LOCATION

Sostituisci quanto segue:

  • RESOURCE_ID è l'ID completo della risorsa, incluso il nome di dominio dell'API per identificare il tipo di risorsa (//compute.googleapis.com/). Devi utilizzare gli ID numerici per le risorse, non i relativi nomi. Ad esempio, una subnet L'ID ha un formato simile a questo: //compute.googleapis.com/projects/123/regions/us-central1/subnetworks/456. R l'ID rete ha un formato simile a questo: //compute.googleapis.com/projects/123/global/networks/789
  • LOCATION: la posizione della risorsa. Se stai visualizzando un tag associato a un risorsa globale, ad esempio una cartella o un progetto, ometti questo flag. Se stai visualizzando un tag associato a una risorsa regionale o zonale, devi specificare la località, ad esempio us-central1 (regione) o us-central1-a (zona).

Dovresti ricevere una risposta simile alla seguente:

name: tagBindings/%2F%2Fcloudresourcemanager.googleapis.com%2Fprojects%2F7890123456/tagValues/567890123456
          tagValue: tagValues/567890123456
          resource: //compute.googleapis.com/projects/7890123456/subnetworks/subnetwork-ID

Scollegare i tag da una risorsa VPC

Puoi scollegare i tag che sono stati collegati direttamente a una risorsa VPC. I tag ereditati possono essere sostituiti collegando un tag con la stessa chiave e un valore diverso, ma non possono essere scollegati. Prima di poter eliminare un tag, devi scollegare le relative chiavi e i relativi valori da ogni risorsa a cui è collegato.

gcloud

Per eliminare un'associazione di tag, utilizza il gcloud resource-manager tags bindings delete comando:

      gcloud resource-manager tags bindings delete \
          --tag-value=TAGVALUE_NAME \
          --parent=RESOURCE_ID \
          --location=LOCATION

Sostituisci quanto segue:

  • TAGVALUE_NAME: l'ID permanente o il nome nello spazio dei nomi del valore del tag associato, ad esempio tagValues/567890123456.
  • RESOURCE_ID è l'ID completo della risorsa, inclusa l'API nome di dominio per identificare il tipo di risorsa (//compute.googleapis.com/). Tu devono utilizzare gli ID numerici delle risorse, non i loro nomi. Ad esempio, un ID sottorete ha un formato simile al seguente://compute.googleapis.com/projects/123/regions/us-central1/subnetworks/456. Un ID rete ha un formato simile al seguente://compute.googleapis.com/projects/123/global/networks/789
  • LOCATION: la posizione della risorsa. Se stai collegando un tag a un account globale come una cartella o un progetto, ometti questo flag. Se colleghi un tag a una risorsa regionale o di zona, devi specificare la località, ad esempio us-central1 (regione) o us-central1-a (zona).

Elimina chiavi e valori dei tag

Quando rimuovi la definizione di un valore o di una chiave tag, assicurati che il tag sia scollegato dal in una risorsa VPC. Devi eliminare gli allegati dei tag esistenti, chiamati associazioni di tag, prima di eliminare la definizione del tag stessa. Per eliminare le chiavi dei tag e il tag consulta la sezione Eliminazione dei tag.

Condizioni e tag di Identity and Access Management

Puoi utilizzare i tag e le condizioni IAM per concedere in modo condizionale le associazioni di ruoli agli utenti della gerarchia. Modifica o eliminazione del tag associato a una risorsa può rimuovere l'accesso degli utenti a quella risorsa se È stato applicato il criterio IAM con associazioni di ruoli condizionali. Per maggiori informazioni, consulta Condizioni e tag di Identity and Access Management.

Passaggi successivi