Creazione e gestione di tag

Questa guida descrive come creare e gestire i tag dei flussi di lavoro in Workflows. Puoi utilizzare i tag per raggruppare flussi di lavoro e altre risorse Google Cloud per i report, i controlli e il controllo dell'accesso nella tuaGoogle Cloud organizzazione.

Informazioni sui tag

Un tag è una coppia chiave-valore che può essere collegata a una risorsa all'interno diGoogle Cloud. Puoi utilizzare i tag per consentire o negare in modo condizionale le policy a seconda che una risorsa abbia un tag specifico. Ad esempio, puoi concedere in modo condizionale i ruoli IAM (Identity and Access Management) in base al fatto che una risorsa abbia un tag specifico. Per saperne di più sui tag, consulta la Panoramica dei tag.

I tag vengono collegati alle risorse creando una risorsa di associazione di tag che collega il valore alla Google Cloud risorsa.

Per raggruppare i workflow all'interno di Workflows per scopi di automazione e fatturazione, utilizza le etichette. I tag e le etichette funzionano indipendentemente l'uno dall'altro e puoi applicarli entrambi allo stesso flusso di lavoro. Per saperne di più sulle differenze tra tag ed etichette, consulta Tag ed etichette.

Autorizzazioni obbligatorie

Le autorizzazioni necessarie dipendono dall'azione da eseguire.

Per ottenere queste autorizzazioni, chiedi all'amministratore di concedere il ruolo suggerito al livello appropriato della gerarchia delle risorse.

Visualizza tag

Per visualizzare le definizioni dei tag e i tag associati alle risorse, devi disporre del ruolo Visualizzatore tag (roles/resourcemanager.tagViewer) o di un altro ruolo che includa le seguenti autorizzazioni:

Autorizzazioni obbligatorie

  • resourcemanager.tagKeys.get
  • resourcemanager.tagKeys.list
  • resourcemanager.tagValues.list
  • resourcemanager.tagValues.get
  • listTagBindings per il tipo di risorsa appropriato. Ad esempio, compute.instances.listTagBindings per visualizzare i tag associati alle istanze Compute Engine.
  • listEffectiveTags
    • per il tipo di risorsa appropriato. Ad esempio, compute.instances.listEffectiveTags per visualizzare tutti i tag associati o ereditati dalle istanze Compute Engine.

Per visualizzare i tag a livello di organizzazione, devi disporre del ruolo Visualizzatore organizzazione (roles/resourcemanager.organizationViewer) per la risorsa dell'organizzazione.

Amministrare i tag

Per creare, aggiornare ed eliminare le definizioni dei tag, devi disporre del ruolo Amministratore tag (roles/resourcemanager.tagAdmin) o di un altro ruolo che includa le seguenti autorizzazioni:

Autorizzazioni obbligatorie

  • resourcemanager.tagKeys.create
  • resourcemanager.tagKeys.update
  • resourcemanager.tagKeys.delete
  • resourcemanager.tagKeys.list
  • resourcemanager.tagKeys.get
  • resourcemanager.tagKeys.getIamPolicy
  • resourcemanager.tagKeys.setIamPolicy
  • resourcemanager.tagValues.create
  • resourcemanager.tagValues.update
  • resourcemanager.tagValues.delete
  • resourcemanager.tagValues.list
  • resourcemanager.tagValues.get
  • resourcemanager.tagValues.getIamPolicy
  • resourcemanager.tagValues.setIamPolicy

Per amministrare i tag a livello di organizzazione, devi disporre del ruolo Visualizzatore organizzazione (roles/resourcemanager.organizationViewer) per la risorsa organizzazione.

Gestire i tag nelle risorse

Per aggiungere e rimuovere i tag collegati alle risorse, devi disporre del ruolo Utente tag (roles/resourcemanager.tagUser) o di un altro ruolo con autorizzazioni equivalenti sia per il valore tag sia per le risorse a cui colleghi il valore tag. Il ruolo Tagga utente include le seguenti autorizzazioni:

Autorizzazioni obbligatorie

  • Autorizzazioni richieste per la risorsa a cui stai associando il valore del tag
    • Autorizzazione createTagBinding specifica per risorsa, ad esempio compute.instances.createTagBinding per le istanze di Compute Engine.
    • Autorizzazione deleteTagBinding specifica per risorsa, ad esempio compute.instances.deleteTagBinding per le istanze di Compute Engine.
  • Autorizzazioni richieste per il valore del tag:
    • resourcemanager.tagValueBindings.create
    • resourcemanager.tagValueBindings.delete
  • Autorizzazioni che ti consentono di visualizzare i progetti e le definizioni dei tag:
    • resourcemanager.tagValues.get
    • resourcemanager.tagValues.list
    • resourcemanager.tagKeys.get
    • resourcemanager.tagKeys.list
    • resourcemanager.projects.get

Per associare tag ai workflow di Workflows, devi disporre del ruolo Workflows Editor (roles/workflows.editor).

Creare chiavi e valori dei tag

Prima di poter allegare un tag, devi crearlo e configurarne il valore. Per creare chiavi e valori dei tag, consulta Creare un tag e Aggiungere un valore del tag.

Associare un tag a un flusso di lavoro

Dopo aver creato il tag, devi collegarlo a un flusso di lavoro.

Console

  1. Vai alla pagina Flussi di lavoro nella console Google Cloud.

    2. Vai a Flussi di lavoro

  2. Seleziona il flusso di lavoro a cui vuoi associare un tag.
  3. Fai clic su Tag.
  4. Se la tua organizzazione non viene visualizzata nel riquadro Tag, fai clic su Seleziona ambito. Seleziona la tua organizzazione e fai clic su Apri.
  5. Fai clic su Aggiungi tag.
  6. Seleziona dall'elenco la chiave del tag da associare. Puoi filtrare l'elenco digitando le parole chiave.
  7. Seleziona dall'elenco il valore del tag da associare. Puoi filtrare l'elenco digitando le parole chiave.
  8. Fai clic su Salva.
  9. Nella finestra di dialogo Conferma, fai clic su Conferma per allegare il tag.

    10. Una notifica conferma che i tag sono stati aggiornati.

gcloud

Per associare un tag a un flusso di lavoro, devi creare una risorsa di associazione dei tag utilizzando il comando gcloud resource-manager tags bindings create:

      gcloud resource-manager tags bindings create \
          --tag-value=TAGVALUE_NAME \
          --parent=RESOURCE_ID \
          --location=LOCATION

Sostituisci quanto segue:

  • TAGVALUE_NAME: l'ID permanente o il nome nello spazio dei nomi del valore del tag associato, ad esempio tagValues/567890123456.
  • RESOURCE_ID è l'ID completo della risorsa, incluso il nome di dominio dell'API per identificare il tipo di risorsa (//workflows.googleapis.com/). Per esempio, per associare un tag al flusso di lavoro myWorkflow in projects/workflows-test-project, nella regione us-central1, l'ID completo è: //workflows.googleapis.com/projects/workflows-test-project/locations/us-central1/workflows/myWorkflow.
  • LOCATION: la posizione della risorsa. Se colleghi un tag a una risorsa globale, come una cartella o un progetto, ometti questo flag. Se colleghi un tag a una risorsa regionale o di zona, devi specificare la località, ad esempio us-central1 (regione) o us-central1-a (zona).

Elenca i tag associati a un workflow

Puoi visualizzare un elenco di associazioni di tag direttamente collegate o ereditate dal flusso di lavoro.

Console

  1. Vai alla pagina Flussi di lavoro nella console Google Cloud.

    2. Vai a Flussi di lavoro

  2. I tag vengono visualizzati nella colonna Tag del flusso di lavoro.

gcloud

Per ottenere un elenco di associazioni di tag associate a una risorsa, utilizza il comando gcloud resource-manager tags bindings list:

      gcloud resource-manager tags bindings list \
          --parent=RESOURCE_ID \
          --location=LOCATION

Sostituisci quanto segue:

  • RESOURCE_ID è l'ID completo della risorsa, incluso il nome di dominio dell'API per identificare il tipo di risorsa (//workflows.googleapis.com/). Per esempio, per associare un tag al flusso di lavoro myWorkflow in projects/workflows-test-project, nella regione us-central1, l'ID completo è: //workflows.googleapis.com/projects/workflows-test-project/locations/us-central1/workflows/myWorkflow.
  • LOCATION: la posizione della risorsa. Se stai visualizzando un tag collegato a una risorsa globale, ad esempio una cartella o un progetto, ometti questo flag. Se stai visualizzando un tag associato a una risorsa regionale o zonale, devi specificare la località, ad esempio us-central1 (regione) o us-central1-a (zona).

Dovresti ricevere una risposta simile alla seguente:

name: tagBindings/%2F%2Fcloudresourcemanager.googleapis.com%2Fprojects%2F7890123456/tagValues/567890123456
          tagValue: tagValues/567890123456
          resource: //workflows.googleapis.com/projects/PROJECT_ID/locations/REGION/WORKFLOW_ID

Scollegare i tag da un flusso di lavoro

Puoi scollegare i tag che sono stati collegati direttamente a un flusso di lavoro. I tag ereditati possono essere sostituiti collegando un tag con la stessa chiave e un valore diverso, ma non possono essere scollegati. Prima di poter eliminare un tag, devi scollegare la chiave e i valori da ogni risorsa a cui è associato.

Console

  1. Vai alla pagina Flussi di lavoro nella console Google Cloud.

    2. Vai a Flussi di lavoro

  2. Seleziona il flusso di lavoro da cui vuoi rimuovere un tag.
  3. Fai clic su Tag.
  4. Nel riquadro Tag, accanto al tag che vuoi scollegare, fai clic su Elimina elemento.
  5. Fai clic su Salva.
  6. Nella finestra di dialogo Conferma, fai clic su Conferma per scollegare il tag.

    7. Una notifica conferma che i tag sono stati aggiornati.

gcloud

Per eliminare un'associazione di tag, utilizza il comando gcloud resource-manager tags bindings delete:

      gcloud resource-manager tags bindings delete \
          --tag-value=TAGVALUE_NAME \
          --parent=RESOURCE_ID \
          --location=LOCATION

Sostituisci quanto segue:

  • TAGVALUE_NAME: l'ID permanente o il nome nello spazio dei nomi del valore del tag associato, ad esempio tagValues/567890123456.
  • RESOURCE_ID è l'ID completo della risorsa, incluso il nome di dominio dell'API per identificare il tipo di risorsa (//workflows.googleapis.com/). Per esempio, per associare un tag al flusso di lavoro myWorkflow in projects/workflows-test-project, nella regione us-central1, l'ID completo è: //workflows.googleapis.com/projects/workflows-test-project/locations/us-central1/workflows/myWorkflow.
  • LOCATION: la posizione della risorsa. Se colleghi un tag a una risorsa globale, come una cartella o un progetto, ometti questo flag. Se colleghi un tag a una risorsa regionale o di zona, devi specificare la località, ad esempio us-central1 (regione) o us-central1-a (zona).

Eliminare le chiavi e i valori dei tag

Quando rimuovi una definizione di chiave o valore del tag, assicurati che il tag sia scollegato dal flusso di lavoro. Devi eliminare gli allegati dei tag esistenti, chiamati associazioni di tag, prima di eliminare la definizione del tag stessa. Per eliminare le chiavi e i valori dei tag, consulta la sezione Eliminare i tag.

Condizioni e tag di Identity and Access Management

Puoi utilizzare i tag e le condizioni IAM per concedere in modo condizionale le associazioni di ruoli agli utenti della gerarchia. La modifica o l'eliminazione del tag associato a una risorsa può rimuovere l'accesso degli utenti a quella risorsa se è stato applicato un criterio IAM con associazioni di ruoli condizionali. Per maggiori informazioni, consulta Condizioni e tag di Identity and Access Management.

Passaggi successivi