Tags – Übersicht

Tags sind Schlüssel/Wert-Paare, die Sie an IhreCloud de Confiance by S3NS -Ressourcen anhängen können, um sie zu annotieren und Richtlinien bedingt zu erzwingen. Diese bedingte Erzwingung ermöglicht Ihnen, die Ressourcen in Ihrer Cloud de Confiance by S3NS Ressourcenhierarchie genau zu steuern.

In der Ressourcenhierarchie von Cloud de Confiancewerden Ressourcen in einer Baumstruktur organisiert, damit Sie sie in großem Umfang verwalten können. Diese Hierarchie modelliert jedoch nur einige wenige Geschäftsdimensionen, darunter Organisationsstruktur, Regionen, Arbeitslasttypen und Kostenstellen. Tags bieten die Flexibilität, mehrere Geschäftsdimensionen in Ihrer Hierarchie miteinander zu verbinden.

Tags und Labels

Labels sind eine separate Möglichkeit, Annotationen für Ressourcen zu erstellen. In der folgenden Tabelle sind einige der Unterschiede zwischen Tags und Labels aufgeführt:

Tags Labels
Ressourcenstruktur Tag-Schlüssel, Tag-Werte und Tag-Bindungen sind separate Ressourcen. Keine Ressource an sich, sondern Metadaten für Ressourcen
Definition Auf Organisations- oder Projektebene definiert Durch jede Ressource definiert
Zugriffssteuerung Für die Verwaltung und das Anhängen von Tags sind IAM-Rollen (Identity and Access Management) erforderlich. Zum Anhängen von Labels sind IAM-Rollen erforderlich, die je nach Dienstressource variieren.
Voraussetzung für das Anhängen Der Tag-Schlüssel und der Tag-Wert müssen definiert werden, bevor ein Tag an eine Ressource angehängt werden kann. Keine Voraussetzungen für den Anhang
Übernahme Tag-Bindungen werden von untergeordneten Elementen der Ressource in der Cloud de Confiance by S3NS -Hierarchie übernommen Nicht von untergeordneten Elementen der Ressource übernommen
Anforderungen an das Löschen Tags können nur gelöscht werden, wenn keine Tag-Bindungen für dieses Tag vorhanden sind Kann jederzeit aus einer Ressource entfernt werden
Anforderungen für die Benennung von Migrationen Anforderungen an Tag-Werte und Tag-Schlüssel Anforderungen an Labels
Länge des Schlüssel/Wert-Namens Maximal 256 Zeichen Maximal 63 Zeichen
Unterstützung von Zulassungs- und Ablehnungsrichtlinien Auf Tags kann von Zulassungsrichtlinienbedingungen und Ablehnungsrichtlinienbedingungen verwiesen werden. Keine Unterstützung für Zulassungs- und Ablehnungsrichtlinien
Unterstützung von Organisationsrichtlinien Auf Tags für einige Ressourcen kann über bedingte Einschränkungen für Organisationsrichtlinien verwiesen werden. Keine Unterstützung für Organisationsrichtlinien
Cloud Billing-Integration Rückbuchungen, Audits und andere Analysen der Kostenzuweisung durchführen, Cloud Billing-Kostendaten nach BigQuery exportieren Ressourcen in Cloud Billing nach Label filtern, Cloud Billing-Daten nach BigQuery exportieren

Weitere Informationen zu Labels finden Sie unter Labels erstellen und verwalten.

Semantische Tags

Ein semantisches Tag ist ein Schlüssel/Wert-Paar, das aussagekräftige Metadaten für Ihre Ressourcen mit einer starken, standardisierten Semantik bereitstellt, die auf OpenTelemetry-Konventionen (OTel) basiert.

Sie können semantische Tags mit App Hub-Ressourcen verwenden. Wenn Sie Attribute für Dienste und Arbeitslasten in App Hub festlegen, werden sie von App Hub automatisch als schreibgeschützte semantische System-Tags für die direkt zugrunde liegenden Ressourcen repliziert.

Semantische System-Tags haben Lesezugriff. Sie können diese System-Tags nicht direkt mit der Tags API oder der Cloud de Confiance Console bearbeiten oder entfernen. Die Tag-Verwaltung erfolgt in App Hub.

Replizierte semantische Tags von App Hub

Wenn Sie App Hub verwenden, werden die Attribute Umgebung und Kritikalität, die für Ihre Dienste oder Arbeitslasten festgelegt sind, automatisch als schreibgeschützte semantische System-Tags im dedizierten Namespace google:AppHub repliziert.

Zu den unterstützten System-Tags gehören:

  • google:AppHub/environment: Werte, die von App Hub abgeleitet werden, z. B. PRODUCTION oder STAGING.
  • google:AppHub/criticality: Werte, die von App Hub abgeleitet werden, z. B. MISSION_CRITICAL oder HIGH.

Durch die Bereitstellung des App Hub-Kontexts als System-Tags wird sichergestellt, dass nachgelagerte Dienste wie die Cloud de Confiance Console autoritative Metadaten nutzen, um Governance- und Sicherheitsrichtlinien ohne die mit der manuellen Konfiguration verbundenen Risiken durchzusetzen.

Weitere Informationen zum Verwalten semantischer Tags finden Sie unter Semantische Tags ansehen und verwalten.

Der semantische Katalog

Der semantische Katalog enthält eine Liste der verfügbaren Semantiken und ihrer Zuordnung zu OpenTelemetry-gestützten (OTel) Attributen. Sie können diesen Katalog in der Cloud de Confiance Console durchsuchen oder Details über APIs aufrufen.

Weitere Informationen zum Zugriff auf den Katalog finden Sie unter Semantischen Katalog ansehen.

Semantikschlüssel OTel-Attributschlüssel Semantikwert OTel-Attributwert
ENVIRONMENT deployment.environment.name PRODUCTION production
STAGING staging
TEST test
DEVELOPMENT development
CRITICALITY service.criticality MISSION_CRITICAL critical
HIGH high
MEDIUM medium
LOW low

Einschränkungen von semantischen Tags

Für semantische Tags gelten die folgenden Einschränkungen:

  • Benutzerdefinierte Bindungen: Sie können die semantischen Tags ENVIRONMENT oder CRITICALITY nicht direkt über die Tags API an Ressourcen oder Resource Manager-Knoten (Projekte, Ordner oder Organisationen) binden.
  • Benutzerdefinierte Semantik: Das Hochstufen vorhandener Tags zu semantischen Tags wird nicht unterstützt.
  • Nur direkte Ressourcen: Die Synchronisierung gilt nur für direkte Ressourcen, die in App Hub registriert sind. Sie wird nicht an verschachtelte oder indirekte Ressourcen innerhalb eines Dienstes oder einer Arbeitslast weitergegeben (z. B. einzelne VMs in einer MIG).

Tags erstellen

Tags bestehen aus einem Schlüssel/Wert-Paar. Eine Tag-Schlüsselressource kann unter Ihren Organisations- oder Projektressourcen erstellt werden. Tag-Werte sind Ressourcen, die an einen Schlüssel angehängt werden, z. B. ein Tag-Schlüssel environment mit den Werten production und development.

Tag-Administration

Administratoren können die Verwendung von Tags steuern, indem sie einschränken, wer Tags erstellen, aktualisieren, löschen und an Ressourcen anhängen darf. Sie können ein einzelnes Tag auswählen, um Änderungen vorzunehmen, z. B. Werte hinzuzufügen oder zu entfernen und die Beschreibung zu aktualisieren. So können Sie Ihre Tags genau steuern.

Tags können optional eine Beschreibung haben, die angezeigt wird, wenn Informationen zum Tag abgerufen werden. Die Beschreibung hilft Nutzern, die das Tag an die Ressource anhängen, den Zweck des Tags zu verstehen.

In einem übergeordneten Projekt oder einer übergeordneten Organisation muss jeder Tag-Schlüssel eindeutig sein. So wird sichergestellt, dass jeder Tag-Wert, wenn er an eine Ressource gebunden ist, ein eindeutiges Paar mit seinem Tag-Schlüssel bildet.

Richtlinien und Tags

Sie können Tags und IAM-Bedingungen zusammen verwenden, um:

Nachdem Sie einen Tag-Wert erstellt haben, können Sie ihn an Ressourcen binden. Anschließend können Sie IAM-Richtlinien mit Bedingungen erstellen, die Ressourcen danach identifizieren, ob ein Tag-Schlüssel an die Ressource gebunden wurde. Informationen zur Verwendung von Tags und IAM-Bedingungen finden Sie unter Tags und bedingter Zugriff.

Auswirkungen von Tag-Änderungen

Wenn Sie Tags verwenden, um bedingt Zugriff zu gewähren oder zu verweigern oder um den Geltungsbereich von Organisationsrichtlinien festzulegen, kann das Binden oder Aufheben der Bindung eines Tags an eine Ressource die Auswirkungen dieser Richtlinien ändern.

Angenommen, Sie haben eine Gruppe von Entwicklern, die Compute Engine-Instanzen verwalten müssen, aber nur solche, die für die Entwicklung verwendet werden:

  1. Tag-Definitionen: Sie haben einen Tag-Schlüssel 123456789012/env mit den Werten dev und prod.
  2. Bedingter Zugriff: Sie weisen der Entwicklergruppe die Rolle Compute Instance Admin (roles/compute.instanceAdmin) zu. Sie fügen der Rollenbindung eine Bedingung hinzu, die den Zugriff nur zulässt, wenn die Ressource das Tag env: dev hat.
  3. Auswirkungen von Änderungen:
    • Tags binden: Sie hängen das Tag env: dev an eine Instanz an. Die bedingte Rollenbindung gewährt Entwicklern jetzt Zugriff, um die Instanz zu verwalten.
    • Tags entbinden: Später wird dieselbe Instanz in die Produktion hochgestuft. Sie heben die Bindung des Tags env: dev auf und binden das Tag env: prod. Die bedingte Rollenbindung gewährt Entwicklern keinen Zugriff mehr, um diese Instanz zu verwalten.

Im Allgemeinen werden Tag-Änderungen innerhalb von zwei Minuten wirksam. Es kann jedoch bis zu 7 Minuten dauern, bis die Änderungen vollständig im System wirksam werden. Diese Verzögerung gilt für die Geschwindigkeit, mit der der Zugriff gewährt oder widerrufen wird, oder für die Geschwindigkeit, mit der eine Organisationsrichtlinie nach dem Binden oder Aufheben der Bindung eines Tags wirksam wird.

Erzwingung obligatorischer Tags mithilfe von Organisationsrichtlinien

Sie können obligatorische Tags für Ressourcen mithilfe einer benutzerdefinierten Organisationsrichtlinie erzwingen. Wenn Sie obligatorische Tags erzwingen, können Sie nur Ressourcen erstellen, die den Tag-Richtlinien Ihrer Organisation entsprechen. Das bedeutet, dass Ressourcen an die Tag-Werte für die in der Richtlinie angegebenen obligatorischen Tag-Schlüssel gebunden sind. Weitere Informationen finden Sie unter Benutzerdefinierte Einschränkung zum Erzwingen von Tags einrichten.

Die Erzwingung obligatorischer Tags wird für die folgenden Ressourcentypen unterstützt:

  • Resource Manager-Projekte und -Ordner
  • Filestore-Instanzen
  • AlloyDB for PostgreSQL-Cluster- und -Sicherungsressourcen
  • Workflows-Workflow
  • Compute Engine-Ressourcen:
    • Instanzen
    • Laufwerke
    • Externe VPN-Gateways
    • VPN-Gateways
    • Ziel-VPN-Gateways
    • VPN-Tunnel
    • Interconnect-Verbindungen
    • Interconnect-Anhänge
    • Back-End-Dienste
    • Regionale Backend-Dienste
    • Backend-Buckets
  • VPC-Ressourcen:
    • Netzwerke
    • Subnetzwerke
    • Firewallregeln
    • Routen

Tag-Vererbung

Wenn ein Tag-Wert an eine Ressource angehängt wird, übernehmen standardmäßig alle untergeordneten Elemente der Ressource denselben Tag-Wert. Sie können einen übernommenen Tag-Wert für eine untergeordnete Ressource überschreiben. Wenn Sie einen übernommenen Tag-Wert überschreiben möchten, binden Sie einen anderen Tag-Wert an die untergeordnete Ressource. Der andere Tag-Wert muss denselben Tag-Schlüssel wie der übernommene Tag-Wert verwenden.

Angenommen, Sie wenden das Tag environment: development auf einen Ordner an, der zwei untergeordnete Ordner mit den Namen team-a und team-b hat. Sie können auch ein anderes Tag, environment: test, auf den Ordner team-b anwenden. Daher übernehmen Projekte und andere Ressourcen im Ordner team-a das Tag environment: development und Projekte und andere Ressourcen im Ordner team-b das Tag environment: test:

Ressourcenhierarchie mit Tags

Ressourcenhierarchie mit Tags

Wenn Sie das Tag environment: test aus dem Ordner team-b entfernen, übernehmen dieser Ordner und seine Ressourcen das Tag environment: development.

Alle Tags, die an eine Ressource angehängt sind und von ihr übernommen wurden, werden kollektiv als geltende Tags bezeichnet. Die geltenden Tags für eine Ressource sind eine Kombination aus den direkt an sie angehängten Tags sowie allen Tags, die an alle übergeordneten Ressourcen in der Hierarchie angehängt sind.

Wenn Sie Tags mit IAM-Bedingungen verwenden, empfehlen wir, für jeden Tag-Schlüssel, der von Ihren IAM-Bedingungen verwendet wird, einen sicheren Standard-Tag-Wert zu erstellen. Wenden Sie den sicheren Standard-Tag-Wert an, indem Sie ihn an Ihre Organisation binden, sodass er von allen Ressourcen innerhalb der Organisation übernommen wird. Ändern Sie den Tag-Wert nur, indem Sie übernommene Bindungen für relevante Ressourcen explizit überschreiben.

Angenommen, Sie haben eine IAM-Bedingung, die vom Tag-Wert on für den Tag-Schlüssel enforcement abhängt, und der Tag-Schlüssel hat auch den Tag-Wert off. Binden Sie den Tag-Wert enforcement: off an die Organisation, um einen sicheren Standardwert zu erstellen, der von allen Ressourcen innerhalb der Organisation übernommen wird. Binden Sie den Tag-Wert enforcement: on nur an ausgewählte Ressourcen innerhalb der Organisation.

Anschließend können Sie Richtlinien schreiben, die sich auf den Tag-Schlüssel enforcement beziehen, mit Bedingungen, die sich auf eine Ressource auswirken, wenn sie enforcement: on oder enforcement: off ist, und einem sicheren Fall, wenn sie enforcement: default ist. Wenn der Tag-Schlüssel enforcement jemals aus einer Ressource entfernt wird, kann die Ressource den Tag-Wert für enforcement von ihrer übergeordneten Ressource übernehmen. Wenn keine übergeordnete Ressource den Tag-Schlüssel enforcement hat, übernimmt die Ressource enforcement: default von der Organisationsressource.

Die Verwendung eines sicheren Standard-Tags kann hilfreich sein. Um unbeabsichtigtes Verhalten zu vermeiden, empfehlen wir jedoch, die Tags und Richtlinien mit Bedingungen zu prüfen, bevor Sie Ihre Ressourcen verschieben oder Tags entfernen.

Tag-Schlüssel und -Werte löschen

Bevor Sie einen Tag-Wert löschen können, müssen Sie alle Ressourcenbindungen löschen, die den Tag-Wert verwenden.

Tag-Werte vor dem Löschen schützen

Sie können eine zusätzliche Schutzebene für Ihre Tag-Werte erstellen, indem Sie einen Tag-Hold an einen Tag-Wert anhängen. Ein Tag-Hold verhindert wie eine Tag-Bindung, dass ein Nutzer den Tag-Wert löscht.

Bei einigen Ressourcen wird automatisch ein Tag-Hold für jeden Tag-Wert erstellt, der an die Ressource angehängt ist. Dieser Tag-Hold muss entfernt werden, bevor Sie den Tag-Wert löschen können.

Nächste Schritte