Crea e gestisci i tag

Questa pagina descrive Cloud de Confiance by S3NS i tag e come utilizzarli con Pub/Sub. I tag possono essere applicati ad argomenti, sottoscrizioni e snapshot Pub/Sub. È prevista l'assistenza per l'applicazione dei tag agli schemi Pub/Sub.

Informazioni sui tag

Un tag è una coppia chiave-valore che può essere collegata a una risorsa all'interno di Cloud de Confiance by S3NS. Puoi utilizzare i tag per consentire o negare in modo condizionale le policy a seconda che una risorsa abbia un tag specifico. Ad esempio, puoi concedere in modo condizionale i ruoli IAM (Identity and Access Management) a seconda che una risorsa abbia un tag specifico. Per saperne di più sui tag, consulta Introduzione ai tag.

I tag vengono collegati alle risorse creando una risorsa di associazione tag che collega il valore alla risorsa Cloud de Confiance by S3NS .

Autorizzazioni obbligatorie

Per ottenere le autorizzazioni necessarie per gestire i tag, chiedi all'amministratore di concederti i seguenti ruoli IAM:

  • Tag Viewer (roles/resourcemanager.tagViewer) nelle risorse a cui sono collegati i tag
  • Visualizza e gestisci i tag a livello di organizzazione: Organization Viewer (roles/resourcemanager.organizationViewer) nell'organizzazione
  • Crea, aggiorna ed elimina le definizioni dei tag: Tag Administrator (roles/resourcemanager.tagAdmin) nella risorsa per cui stai creando, aggiornando o eliminando i tag
  • Associa e rimuovi i tag dalle risorse: Tag User (roles/resourcemanager.tagUser) nel valore del tag e nelle risorse a cui stai associando o rimuovendo il valore del tag

Per saperne di più sulla concessione dei ruoli, consulta Gestisci l'accesso a progetti, cartelle e organizzazioni.

Potresti anche riuscire a ottenere le autorizzazioni richieste tramite i ruoli personalizzati o altri ruoli predefiniti.

Per collegare i tag ad argomenti, sottoscrizioni o snapshot Pub/Sub , devi disporre del ruolo Editor Pub/Sub (roles/pubsub.editor).

Crea chiavi e valori dei tag

Prima di poter allegare un tag, devi crearne uno e configurarne il valore. Per creare chiavi e valori dei tag, consulta Creazione di un tag e Aggiunta di un valore tag.

Aggiungi tag durante la creazione delle risorse

Puoi aggiungere tag al momento della creazione di argomenti, sottoscrizioni o snapshot. L'aggiunta di tag durante la creazione delle risorse consente di fornire immediatamente metadati essenziali per le risorse e contribuisce anche a una migliore organizzazione, al monitoraggio dei costi e all'applicazione automatica delle policy.

Console

  1. Vai alla pagina Pub/Sub nella Cloud de Confiance console.

    2. Vai a Pub/Sub.

  2. Seleziona l'opzione per creare un nuovo argomento, una nuova sottoscrizione o un nuovo snapshot.
  3. Fai clic su Gestisci tag.
  4. Se la tua organizzazione non viene visualizzata nel riquadro Gestisci tag, fai clic Seleziona ambito per i tag. Scegli di aggiungere tag definiti a livello di organizzazione o di progetto, quindi inserisci l'ID corrispondente.
  5. Fai clic su Aggiungi tag.
  6. Seleziona la chiave del tag che vuoi collegare dall'elenco. Puoi filtrare l'elenco digitando parole chiave.
  7. Seleziona il valore del tag che vuoi collegare dall'elenco. Puoi filtrare l'elenco digitando parole chiave.
  8. Fai clic su Salva. La sezione Tag viene aggiornata con le informazioni sui tag.
  9. Crea l'argomento, la sottoscrizione o lo snapshot. Il nuovo argomento, la nuova sottoscrizione o il nuovo snapshot viene creato con i tag forniti.

gcloud

Per aggiungere tag durante la creazione di argomenti, sottoscrizioni o snapshot, esegui il seguente comando:

       gcloud pubsub topics create TOPIC_ID --tags=TAG_KEY=TAG_VALUE

Sostituisci quanto segue:

  • TOPIC_ID: l'ID dell'argomento
  • TAG_KEY: l'ID permanente o il nome con spazio dei nomi della chiave del tag collegata, ad esempio tagKeys/567890123456
  • TAG_VALUE: l'ID permanente o il nome con spazio dei nomi del valore del tag collegato, ad esempio tagValues/567890123456

Specifica più tag separandoli con una virgola, ad esempio TAGKEY1=TAGVALUE1,TAGKEY2=TAGVALUE2

API

Invia una richiesta POST al seguente URL:

      https://pubsub.googleapis.com/v1/projects/PROJECT_ID/topics/TOPIC_ID

Fornisci il seguente JSON nel corpo della richiesta:

      
{
  "name": "projects/PROJECT_ID/topics/TOPIC_ID"
  "tags": {
    "TAGKEY_NAME": "TAGVALUE_NAME"
  }
}

Sostituisci quanto segue:

  • PROJECT_ID: l'ID progetto
  • TOPIC_ID: l'ID dell'argomento
  • TAGKEY_NAME: l'ID permanente o il nome con spazio dei nomi della chiave del tag collegata, ad esempio tagKeys/567890123456
  • TAGVALUE_NAME: l'ID permanente o il nome con spazio dei nomi del valore del tag collegato, ad esempio tagValues/567890123456

Applica tag obbligatori

Puoi applicare tag obbligatori alle risorse per assicurarti che siano presenti tag specifici quando vengono create le risorse, ad esempio un tag Centro di costo, per mantenere la conformità alle policy dell'organizzazione. Puoi farlo utilizzando le policy dell'organizzazione e i vincoli personalizzati. L'applicazione forzata avviene durante la creazione delle risorse, impedendo il provisioning delle risorse senza i tag richiesti. Per saperne di più, consulta Applicazione forzata dei tag obbligatori utilizzando le policy dell'organizzazione.

Configura un vincolo personalizzato per applicare forzatamente i tag

Console

  1. Nella Cloud de Confiance console, vai alla pagina Policy dell'organizzazione.

    Vai a Policy dell'organizzazione.

  2. Seleziona il selettore di progetti nella parte superiore della pagina.

  3. Nel selettore di progetti, seleziona l'organizzazione in cui vuoi applicare forzatamente il vincolo personalizzato.

  4. Configura un vincolo personalizzato con i seguenti parametri:

    • Metodo di applicazione forzata: Govern tags
    • Tipo di risorsa: il nome completo della Cloud de Confiance risorsa REST su cui vuoi applicare forzatamente i tag obbligatori, ad esempio file.googleapis.com/Instance
    • Condizione: una condizione CEL (Common Expression Language) che specifica le chiavi tag che vuoi applicare forzatamente alla risorsa, ad esempio resource.hasDirectTagKey("1234567890/owner") per applicare forzatamente un'associazione di tag per la chiave tag 1234567890/owner. La funzione CEL resource.hasDirectTagKey corrisponde solo ai tag applicati direttamente a una risorsa e non considera i tag ereditati dagli antenati nella gerarchia delle risorse.
    • Azione: Allow o Deny.
      • Consenti: se la condizione specificata è soddisfatta, l'azione di creazione o aggiornamento della risorsa è consentita.
      • Nega: se la condizione specificata è soddisfatta, l'azione di creazione o aggiornamento della risorsa viene bloccata.

  5. Fai clic su Crea vincolo.

gcloud

Crea un file YAML per il vincolo personalizzato:

name: organizations/ORGANIZATION_ID/customConstraints/CONSTRAINT_NAME
resourceTypes:
- RESOURCE_NAME
methodTypes:
- GOVERN_TAGS
condition: "CONDITION"
actionType: ACTION
displayName: DISPLAY_NAME
description: DESCRIPTION

Sostituisci quanto segue:

  • ORGANIZATION_ID: l'ID della tua organizzazione, ad esempio 1234567890.

  • CONSTRAINT_NAME: il nome che vuoi assegnare al nuovo vincolo personalizzato. Un vincolo personalizzato deve iniziare con custom. e può includere solo lettere maiuscole, lettere minuscole o numeri, ad esempio, custom.enforceMandatoryTags.

  • RESOURCE_NAME: il nome completo della Cloud de Confiance risorsa REST su cui vuoi applicare forzatamente i tag obbligatori, ad esempio file.googleapis.com/Instance.

  • CONDITION: una condizione CEL (Common Expression Language) che specifica le chiavi tag che vuoi applicare forzatamente alla risorsa, ad esempio resource.hasDirectTagKey("1234567890/owner") per applicare forzatamente un'associazione di tag per la chiave tag 1234567890/owner.

  • ACTION: l'azione da eseguire se la condition è soddisfatta. Può essere ALLOW o DENY.

    L'azione per negare fa sì che l'operazione di creazione o aggiornamento della risorsa viene bloccata se la condizione specificata è soddisfatta.

    L'azione per consentire fa sì che l'operazione di creazione o aggiornamento della risorsa è consentita se la condizione specificata è soddisfatta. Ciò significa anche che tutti gli altri casi, tranne quello elencato esplicitamente nella condizione, sono bloccati.

  • DISPLAY_NAME: un nome facile da ricordare per il vincolo. Questo campo ha una lunghezza massima di 200 caratteri.

  • DESCRIPTION: una descrizione chiara del vincolo da visualizzare come messaggio di errore in caso di violazione della policy. Questo campo ha una lunghezza massima di 2000 caratteri.

Configura il vincolo personalizzato in modo che sia disponibile per le policy dell'organizzazione.

Dopo aver definito il vincolo personalizzato, puoi testare e analizzare le modifiche alle policy dell'organizzazione e applicare forzatamente il vincolo.

Aggiungi tag alle risorse esistenti

Per aggiungere un tag ad argomenti, sottoscrizioni o snapshot esistenti:

Console

  1. Vai alla pagina Pub/Sub nella Cloud de Confiance console.

    2. Vai a Pub/Sub.

  2. Seleziona la pagina della risorsa a cui vuoi collegare un tag. Ad esempio, per collegare un tag a un argomento, vai alla pagina Argomenti.
  3. Fai clic su Tag.
  4. Se la tua organizzazione non viene visualizzata nel riquadro Tag, fai clic su Seleziona ambito. Seleziona la tua organizzazione e fai clic Apri.
  5. Fai clic su Aggiungi tag.
  6. Seleziona la chiave del tag che vuoi collegare dall'elenco. Puoi filtrare l'elenco digitando parole chiave.
  7. Seleziona il valore del tag che vuoi collegare dall'elenco. Puoi filtrare l'elenco digitando parole chiave.
  8. Fai clic su Salva.
  9. Nella finestra di dialogo Conferma, fai clic su Conferma per collegare il tag.

    10. Una notifica conferma che i tag sono stati aggiornati.

gcloud

Per collegare un tag a un argomento, una sottoscrizione o uno snapshot, devi creare una risorsa di associazione tag utilizzando il gcloud resource-manager tags bindings create comando:

      gcloud resource-manager tags bindings create \
          --tag-value=TAGVALUE_NAME \
          --parent=RESOURCE_ID

Sostituisci quanto segue:

  • TAGVALUE_NAME: l'ID permanente o il nome con spazio dei nomi del valore del tag collegato, ad esempio tagValues/567890123456.
  • RESOURCE_ID è l'ID completo della risorsa, incluso il nome di dominio dell'API per identificare il tipo di risorsa (//pubsub.googleapis.com/). Ad esempio, per collegare un tag a /projects/PROJECT_ID/topics/TOPIC_ID, l'ID completo è //pubsub.googleapis.com/projects/PROJECT_ID/topics/TOPIC_ID.

Elenca i tag collegati alle risorse

Puoi visualizzare un elenco di associazioni di tag direttamente collegate o ereditate dall'argomento, dalla sottoscrizione o dallo snapshot.

Console

  1. Vai alla pagina Pub/Sub nella Cloud de Confiance console.

    2. Vai a Pub/Sub.

  2. Seleziona la pagina della risorsa per cui vuoi visualizzare i tag. Ad esempio, per visualizzare i tag dell'argomento, vai alla pagina Argomenti.

    I tag vengono visualizzati nella sezione Tag della pagina dell'argomento nella console.

gcloud

Per ottenere un elenco di associazioni di tag collegate a una risorsa, utilizza il comando gcloud resource-manager tags bindings list:

      gcloud resource-manager tags bindings list \
          --parent=RESOURCE_ID

Sostituisci quanto segue:

  • RESOURCE_ID è l'ID completo della risorsa, incluso il nome di dominio dell'API per identificare il tipo di risorsa (//pubsub.googleapis.com/). Ad esempio, per collegare un tag a /projects/PROJECT_ID/topics/TOPIC_ID, l'ID completo è //pubsub.googleapis.com/projects/PROJECT_ID/topics/TOPIC_ID.

Dovresti ricevere una risposta simile alla seguente:

name: tagBindings/%2F%2Fcloudresourcemanager.googleapis.com%2Fprojects%2F7890123456/tagValues/567890123456
          tagValue: tagValues/567890123456
          resource: //pubsub.googleapis.com/projects/PROJECT_ID/topics/TOPIC_ID

Scollega i tag dalle risorse

Puoi scollegare i tag che sono stati collegati direttamente a un argomento, una sottoscrizione o uno snapshot. I tag ereditati possono essere sostituiti collegando un tag con la stessa chiave e un valore diverso, ma non possono essere scollegati.

Console

  1. Vai alla pagina Pub/Sub nella Cloud de Confiance console.

    2. Vai a Pub/Sub.

  2. Seleziona la pagina della risorsa da cui vuoi rimuovere un tag. Ad esempio, per rimuovere un tag da un argomento, vai alla pagina Argomenti.
  3. Fai clic su Tag.
  4. Nel riquadro Tag, accanto al tag che vuoi scollegare, fai clic su Elimina elemento.
  5. Fai clic su Salva.
  6. Nella finestra di dialogo Conferma, fai clic su Conferma per scollegare il tag.

Una notifica conferma che i tag sono stati aggiornati.

gcloud

Per eliminare un'associazione di tag, utilizza il comando gcloud resource-manager tags bindings delete:

      gcloud resource-manager tags bindings delete \
          --tag-value=TAGVALUE_NAME \
          --parent=RESOURCE_ID

Sostituisci quanto segue:

  • TAGVALUE_NAME: l'ID permanente o il nome con spazio dei nomi del valore del tag collegato, ad esempio tagValues/567890123456.
  • RESOURCE_ID è l'ID completo della risorsa, incluso il nome di dominio dell'API per identificare il tipo di risorsa (//pubsub.googleapis.com/). Ad esempio, per collegare un tag a /projects/PROJECT_ID/topics/TOPIC_ID, l'ID completo è //pubsub.googleapis.com/projects/PROJECT_ID/topics/TOPIC_ID.

Elimina chiavi e valori dei tag

Quando rimuovi una definizione di chiave o valore di tag, assicurati che il tag sia scollegato dall'argomento, dalla sottoscrizione o dallo snapshot. Prima di eliminare la definizione del tag, devi eliminare gli allegati esistenti, chiamati associazioni di tag. Per eliminare chiavi tag e valori tag, consulta la sezione Elimina i tag.

Condizioni e tag di Identity and Access Management

Puoi utilizzare i tag e le condizioni IAM per concedere in modo condizionale le associazioni di ruoli agli utenti della gerarchia. La modifica o l'eliminazione del tag associato a una risorsa può rimuovere l'accesso utente a quella risorsa se è stata applicata una policy IAM con associazioni di ruoli condizionali. Per maggiori informazioni, consulta Condizioni e tag di Identity and Access Management.

Passaggi successivi