Faça a gestão de recursos do GKE através de etiquetas

Esta página mostra como usar etiquetas para gerir os seus clusters do Google Kubernetes Engine (GKE) e aplicar condicionalmente políticas de gestão de identidades e acessos aos nós.

Vista geral

As etiquetas são pares de chave-valor que lhe permitem anotar e gerir os seus Trusted Cloud recursos ao nível da organização ou do projeto. Pode usar etiquetas para organizar os seus recursos e aplicar condicionalmente políticas, como firewalls ou políticas de IAM. As etiquetas suportam o controlo de acesso da IAM, que lhe permite definir quem pode anexar, criar, atualizar ou eliminar etiquetas.

Exemplos de utilização de etiquetas no GKE

Pode usar etiquetas no GKE para situações como as seguintes:

• Aplicar condicionalmente políticas de firewall de rede a nós específicos. Por exemplo, negar o tráfego de entrada da Internet pública a todos os nós de um cluster em ambientes de preparação ou teste. Para obter instruções, consulte o artigo Aplique seletivamente políticas de firewall de rede no GKE.
• Conceda condicionalmente funções IAM com base em etiquetas. Por exemplo, conceder automaticamente aos contratados acesso a ambientes específicos que, normalmente, só estariam disponíveis para funcionários a tempo inteiro. Para ver instruções, consulte o resto deste documento.
• Auditar e analisar informações de faturação com base nas etiquetas aplicadas ao nível do projeto ou da organização.

Como funciona

Para a aplicação de políticas de firewall de rede especificamente, cria uma etiqueta e designa-a explicitamente para utilização da firewall. Para todos os outros fins, pode criar uma etiqueta sem definir uma designação de firewall.

Depois de criar a etiqueta, anexa-a aos recursos do GKE como um par chave-valor. Para políticas de firewall de rede, usa a API GKE, enquanto para todos os outros fins usa a API Tags.

Para cada chave, pode anexar um valor a um recurso. Por exemplo, se anexou env:dev a um cluster do GKE, também não pode anexar env:prod nem env:test. Pode anexar até 50 etiquetas não relacionadas com a firewall e até cinco etiquetas relacionadas com a firewall a cada recurso.

Métodos de anotação de recursos no GKE

No GKE, existem vários métodos para anotar os seus recursos, conforme descrito na tabela seguinte:

Antes de começar

Antes de começar, certifique-se de que realizou as seguintes tarefas:

• Ative a API Google Kubernetes Engine.
Ative a API Google Kubernetes Engine
• Se quiser usar a CLI gcloud para esta tarefa, instale-a e, em seguida, inicialize-a. Se instalou anteriormente a CLI gcloud, execute gcloud components update para obter a versão mais recente.

• Certifique-se de que tem as seguintes funções IAM:

  • roles/resourcemanager.tagAdmin
  • roles/resourcemanager.tagUser

  Para ver informações sobre as autorizações concedidas por estas funções, consulte a secção Autorizações necessárias.

• Certifique-se de que tem um cluster do GKE em execução.

Anexe etiquetas a um cluster

Pode anexar etiquetas a um cluster existente se tiver as autorizações corretas através da CLI Google Cloud, da Trusted Cloud consola, da API Tags ou do Terraform.

gcloud alpha resource-manager tags bindings create \
    --tag-value=TAG_VALUE_ID \
    --parent=RESOURCE_ID \
    --location=CLUSTER_LOCATION

POST https://LOCATION-cloudresourcemanager.googleapis.com/v3/tagBindings

{
  "parent": "RESOURCE_ID",
  "tagValue": "TAG_VALUE_ID"
}

{
  "done": true,
  "response": {
    "@type": "type.googleapis.com/google.cloud.resourcemanager.v3.TagBinding",
    "name": "tagBindings///container.googleapis.com/projects/PROJECT_ID/locations/LOCATION/clusters/CLUSTER_NAME/tagValues/TAG_VALUE_ID",
    "parent": "//container.googleapis.com/projects/PROJECT_ID/locations/LOCATION/clusters/CLUSTER_NAME",
    "tagValue": "TAG_VALUE_ID"
  }
}

resource "google_container_cluster" "default" {
  name     = "gke-autopilot-tag"
  location = "us-central1"

  enable_autopilot = true
}

data "google_project" "default" {}

resource "google_tags_tag_key" "default" {
  parent      = "projects/${data.google_project.default.project_id}"
  short_name  = "env"
  description = "Environment tag key"
}

resource "google_tags_tag_value" "default" {
  parent      = "tagKeys/${google_tags_tag_key.default.name}"
  short_name  = "dev"
  description = "Development environment tag value."
}

resource "google_tags_location_tag_binding" "default" {
  parent    = "//container.googleapis.com/${google_container_cluster.default.id}"
  location  = google_container_cluster.default.location
  tag_value = "tagValues/${google_tags_tag_value.default.name}"
}

Listar etiquetas anexadas a um cluster

Pode listar as etiquetas anexadas a um cluster através da CLI gcloud, da Trusted Cloud consola ou da API Tags.

gcloud alpha resource-manager tags bindings list \
    --parent=RESOURCE_ID \
    --location=CLUSTER_LOCATION

GET https://LOCATION-cloudresourcemanager.googleapis.com/v3/tagBindings

{
  "parent": RESOURCE_ID,
}

"tagBindings": [
  {
    "name": "tagBindings/%2F%2Fcontainer.googleapis.com%2Fprojects%2Ftags-bugbash-project%2Flocations%2LOCATION%2Fclusters%2Ftestcluster/tagValues/758072120217",
    "parent": "//container.googleapis.com/projects/PROJECT_ID/locations/LOCATION/clusters/CLUSTER_NAME",
    "tagValue": "TAG_VALUE_ID"
  }
]

Desassocie etiquetas de um conjunto

Pode desassociar uma etiqueta de um cluster eliminando o recurso de associação de etiquetas anexado ao cluster através da CLI gcloud, da Trusted Cloud consola ou da API Tags. Se precisar de eliminar uma etiqueta, tem de a desanexar primeiro de todos os recursos anexados.

gcloud alpha resource-manager tags bindings delete \
    --tag-value=TAG_VALUE_ID \
    --parent=RESOURCE_ID \
    --location=CLUSTER_LOCATION

DELETE https://LOCATION-cloudresourcemanager.googleapis.com/v3/TAG_BINDING_NAME

Elimine chaves de etiquetas e valores de etiquetas

Antes de eliminar chaves e valores de etiquetas, certifique-se de que as etiquetas estão desassociadas de todos os recursos. Em seguida, consulte o artigo Eliminar etiquetas para eliminar as chaves e os valores.

Condições e etiquetas da gestão de identidade e de acesso

Pode usar etiquetas e condições da IAM para conceder condicionalmente associações de funções aos utilizadores na hierarquia do seu projeto. Quando altera ou elimina a etiqueta associada a um cluster, o GKE pode remover o acesso do utilizador a esse cluster se tiver sido aplicada uma política de autorização da IAM com associações de funções condicionais.

A autorização para listar e criar clusters do GKE é verificada ao nível do projeto e não ao nível do cluster individual. Se usar associações de funções do IAM condicionais com etiquetas ao nível do cluster para restringir o acesso a clusters específicos, esses utilizadores podem ter erros ao tentar listar ou criar clusters no projeto. Para evitar estes erros, anexe uma etiqueta ao projeto principal e use uma associação de funções condicional para conceder acesso à lista ou criar acesso. Para informações sobre funções e autorizações, consulte a referência de funções de IAM.

Para mais informações acerca das concessões de acesso condicional na IAM, consulte o artigo Condições e etiquetas da gestão de identidade e de acesso.

O que se segue?

• Saiba como definir uma política da organização com etiquetas.
• Saiba como gerir etiquetas e anexá-las a recursos.
• Veja os outros serviços que suportam etiquetas.
• Saiba como usar etiquetas com o IAM.