Présentation des tags

Les tags sont des paires clé/valeur que vous pouvez associer à vos ressourcesCloud de Confiance by S3NS pour les annoter et appliquer des règles de manière conditionnelle. Cette application conditionnelle vous permet de contrôler précisément les ressources de votre hiérarchie de ressources Cloud de Confiance by S3NS .

La hiérarchie des ressources Cloud de Confianceorganise les ressources en arborescence pour vous aider à les gérer à grande échelle. Toutefois, cette hiérarchie ne modélise que quelques dimensions métier, telles que la structure organisationnelle, les régions, les types de charge de travail et les centres de coûts. Les tags offrent la flexibilité nécessaire pour superposer plusieurs dimensions métier dans votre hiérarchie.

Tags et étiquettes

Les étiquettes sont un autre moyen de créer des annotations pour les ressources. Le tableau suivant présente quelques-unes des différences entre les tags et les étiquettes :

Tags Étiquettes
Structure des ressources Les clés de tag, les valeurs de tag et les liaisons de tags sont toutes des ressources distinctes. Il ne s'agit pas d'une ressource en soi, mais de métadonnées décrivant les ressources.
Définition Définis au niveau de l'organisation ou du projet Définies par chaque ressource
Access control (Contrôle des accès) La gestion et l'association de tags nécessitent des rôles IAM (Identity and Access Management). L'association d'étiquettes nécessite des rôles IAM, qui varient en fonction de la ressource de service.
Prérequis pour l'association La clé et la valeur du tag doivent être définies avant qu'un tag puisse être associé à une ressource. Aucun prérequis pour l'association
Héritage Les liaisons de tags sont héritées par les enfants de la ressource dans la hiérarchie Cloud de Confiance by S3NS Non héritées par les enfants de la ressource
Exigences de suppression Les tags ne peuvent être supprimés que s'il n'existe aucune liaison de tag pour ce tag Peut être supprimé d'une ressource à tout moment
Exigences concernant les noms Exigences concernant les valeurs de tag et les clés de tag Exigences relatives aux libellés
Longueur du nom de la clé-valeur 256 caractères au maximum 63 caractères au maximum
Prise en charge des règles d'autorisation et de refus Les tags peuvent être référencés par des conditions de stratégie d'autorisation et des conditions de stratégie de refus. Aucune compatibilité avec les stratégies d'autorisation et de refus
Compatibilité avec les règles d'administration Les tags de certaines ressources peuvent être référencés par des contraintes conditionnelles de règles d'administration. Aucune compatibilité avec les règles d'administration
Intégration de Cloud Billing Effectuer des rejets de débit, des audits et d'autres analyses d'allocation des coûts, et exporter les données de coût Cloud Billing vers BigQuery Filtrer les ressources par étiquette dans Cloud Billing, exporter les données Cloud Billing vers BigQuery

Pour en savoir plus sur les étiquettes, consultez la page Créer et gérer des étiquettes.

Balises sémantiques

Un tag sémantique est une paire clé/valeur qui fournit des métadonnées significatives pour vos ressources avec une sémantique forte et standardisée, basée sur les conventions OpenTelemetry (OTel).

Vous pouvez utiliser des tags sémantiques avec les ressources App Hub. Lorsque vous définissez des attributs sur des services et des charges de travail dans App Hub, App Hub les réplique automatiquement en tant que tags sémantiques système en lecture seule sur les ressources sous-jacentes directes.

Les tags sémantiques système sont en lecture seule. Vous ne pouvez pas modifier ni supprimer ces tags système directement à l'aide de l'API Tags ou de la console Cloud de Confiance . La gestion des tags s'effectue dans App Hub.

Tags sémantiques répliqués App Hub

Si vous utilisez App Hub, les attributs Environnement et Criticité définis sur vos services ou charges de travail sont automatiquement répliqués en tant que tags sémantiques système en lecture seule sous l'espace de noms dédié google:AppHub.

Les tags système compatibles sont les suivants :

  • google:AppHub/environment : valeurs dérivées d'App Hub, par exemple PRODUCTION ou STAGING.
  • google:AppHub/criticality : valeurs dérivées d'App Hub, par exemple MISSION_CRITICAL ou HIGH.

En affichant le contexte d'App Hub sous forme de tags système, les services en aval, tels que la console Cloud de Confiance , utilisent des métadonnées faisant autorité pour appliquer des règles de gouvernance et de sécurité sans les risques associés à la configuration manuelle.

Pour en savoir plus sur la gestion des tags sémantiques, consultez Afficher et gérer les tags sémantiques.

Le catalogue sémantique

Le catalogue sémantique fournit une liste des sémantiques disponibles et de leur mappage avec les attributs basés sur OpenTelemetry (OTel). Vous pouvez parcourir ce catalogue dans la console Cloud de Confiance ou afficher les détails à l'aide des API.

Pour en savoir plus sur l'accès au catalogue, consultez Afficher le catalogue sémantique.

Clé sémantique Clé d'attribut OTel Valeur sémantique Valeur d'attribut OTel
ENVIRONMENT deployment.environment.name PRODUCTION production
STAGING staging
TEST test
DEVELOPMENT development
CRITICALITY service.criticality MISSION_CRITICAL critical
HIGH high
MEDIUM medium
LOW low

Limites des tags sémantiques

Les tags sémantiques présentent les limites suivantes :

  • Liaisons personnalisées : vous ne pouvez pas lier directement des tags sémantiques ENVIRONMENT ou CRITICALITY à des ressources ou à des nœuds Resource Manager (projets, dossiers ou organisations) via l'API Tags.
  • Sémantique définie par l'utilisateur : la promotion de vos tags existants en tags sémantiques n'est pas possible.
  • Ressources directes uniquement : la synchronisation ne s'applique qu'aux ressources directes enregistrées dans App Hub. Elle ne se propage pas aux ressources imbriquées ou indirectes d'un service ou d'une charge de travail (par exemple, les VM individuelles d'un MIG).

Créer des tags

Les tags sont structurés sous forme de paire clé/valeur. Une ressource de clé de tag peut être créée sous vos ressources d'organisation ou de projet, et les valeurs de tag sont des ressources associées à une clé, par exemple une clé de tag environment avec les valeurs production et development.

Administration des tags

Les administrateurs peuvent contrôler l'utilisation des tags en limitant les personnes autorisées à créer, mettre à jour, supprimer et associer des tags aux ressources. Ils peuvent sélectionner un tag individuel pour effectuer des modifications, par exemple pour ajouter ou supprimer des valeurs, et pour mettre à jour la description. Cela permet un contrôle précis de vos tags.

Les tags peuvent éventuellement comporter une description qui s'affiche lorsque des informations sur le tag sont récupérées. La description aide les utilisateurs qui associent le tag à la ressource à comprendre l'objectif du tag.

Dans un projet ou une organisation parent, chaque clé de tag doit être unique. Cela garantit que chaque valeur de tag, lorsqu'elle est liée à une ressource, crée une association unique avec sa clé de tag.

Règles et tags

Vous pouvez utiliser des tags et des conditions IAM ensemble pour :

Après avoir créé une valeur de tag, vous pouvez la lier à des ressources. Vous pouvez ensuite créer des stratégies IAM avec des conditions qui identifient les ressources selon qu'une clé de tag a été liée à la ressource ou non. Pour en savoir plus sur l'utilisation des tags et des conditions IAM, consultez Tags et accès conditionnel.

Impact des modifications de balises

Si vous utilisez des tags pour accorder ou refuser l'accès de manière conditionnelle, ou pour définir le champ d'application des règles d'administration, l'association ou la dissociation d'un tag d'une ressource peut modifier l'impact de ces règles.

Par exemple, supposons que vous disposiez d'un groupe de développeurs qui doivent gérer des instances Compute Engine, mais uniquement celles utilisées pour le développement :

  1. Définitions de tags : vous disposez d'une clé de tag 123456789012/env avec les valeurs dev et prod.
  2. Accès conditionnel : vous accordez le rôle Administrateur d'instances Compute (roles/compute.instanceAdmin) au groupe de développeurs. Vous ajoutez une condition à la liaison de rôle qui n'autorise l'accès que si la ressource possède le tag env: dev.
  3. Effets des modifications :
    • Liaison de tags : vous associez le tag env: dev à une instance. La liaison de rôle conditionnelle accorde désormais aux développeurs l'accès pour gérer l'instance.
    • Dissociation des tags : plus tard, la même instance est promue en production. Vous dissociez le tag env: dev et associez le tag env: prod. La liaison de rôle conditionnelle n'accorde plus aux développeurs l'accès nécessaire pour gérer cette instance.

En règle générale, les modifications apportées aux tags prennent effet dans un délai de deux minutes. Toutefois, la propagation complète des modifications dans le système peut prendre jusqu'à sept minutes. Ce délai de propagation s'applique à la rapidité avec laquelle l'accès est accordé ou révoqué, ou à la rapidité avec laquelle une règle d'administration prend effet après une liaison ou une dissociation de tag.

Application de tags obligatoires à l'aide de règles d'administration'administration

Vous pouvez appliquer des tags obligatoires aux ressources à l'aide d'une règle d'administration personnalisée. Lorsque vous appliquez des tags obligatoires, vous ne pouvez créer que des ressources conformes aux règles d'ajout de tags de votre organisation. Autrement dit, les ressources sont liées aux valeurs de tag des clés de tag obligatoires spécifiées dans la règle. Pour en savoir plus, consultez Configurer une contrainte personnalisée pour appliquer des tags.

L'application des tags obligatoires est compatible avec les types de ressources suivants :

  • Projets et dossiers Resource Manager
  • Instances Filestore
  • Ressources de cluster et de sauvegarde AlloyDB pour PostgreSQL
  • Workflow Workflows
  • Ressources Compute Engine :
    • Instances
    • Disques
    • Passerelles VPN externes
    • Passerelles VPN
    • Passerelles VPN cibles
    • Tunnels VPN
    • Interconnexions
    • Rattachements d'interconnexion
    • Services de backend
    • Services de backend régionaux
    • Buckets backend
  • Ressources VPC :
    • Réseaux
    • Sous-réseaux
    • Règles de pare-feu
    • Routes

Héritage des tags

Lorsqu'une valeur de tag est associée à une ressource, tous les descendants de la ressource héritent par défaut de la même valeur de tag. Vous pouvez remplacer une valeur de tag héritée sur une ressource descendante. Pour remplacer une valeur de tag héritée, associez une autre valeur de tag à la ressource descendante. La valeur de tag différente doit utiliser la même clé de tag que la valeur de tag héritée.

Par exemple, supposons que vous appliquiez le tag environment: development à un dossier, et que ce dossier comporte deux dossiers enfants nommés team-a et team-b. Vous pouvez également appliquer un autre tag, environment: test, au dossier team-b. Par conséquent, les projets et autres ressources du dossier team-a héritent du tag environment: development, et les projets et autres ressources du dossier team-b héritent du tag environment: test :

Hiérarchie des ressources avec des tags

Hiérarchie des ressources avec des tags

Si vous supprimez le tag environment: test du dossier team-b, ce dossier et ses ressources héritent du tag environment: development.

Tous les tags associés à une ressource et hérités par celle-ci sont collectivement appelés les tags effectifs. Les tags effectifs d'une ressource sont une combinaison des tags qui lui sont directement associés, ainsi que de tous les tags associés à tous les ancêtres de la ressource dans la hiérarchie.

Lorsque vous utilisez des tags avec des conditions IAM, nous vous recommandons de créer une valeur de tag par défaut sécurisée pour chaque clé de tag utilisée par vos conditions IAM. Appliquez la valeur de tag par défaut sécurisée en liant cette valeur de tag à votre organisation afin qu'elle soit héritée par toutes les ressources de l'organisation. Ne modifiez la valeur du tag qu'en remplaçant explicitement les liaisons héritées sur les ressources concernées.

Par exemple, supposons que vous disposiez d'une condition IAM qui dépend de la valeur de tag on pour la clé de tag enforcement, et que la clé de tag comporte également une valeur de tag off. Liez la valeur de tag enforcement: off à l'organisation pour créer une valeur par défaut sécurisée dont héritent toutes les ressources de l'organisation. Liez la valeur de tag enforcement: on uniquement aux ressources sélectionnées au sein de l'organisation.

Vous pouvez ensuite écrire des règles qui s'appliquent à la clé de tag enforcement, avec des conditions qui affectent une ressource si elle est enforcement: on ou enforcement: off, et un cas sécurisé si elle est enforcement: default. Si la clé de tag enforcement est supprimée d'une ressource, celle-ci peut alors hériter de la valeur de tag de enforcement de sa ressource parente. Si aucune ressource parente ne possède la clé de tag enforcement, la ressource hérite de enforcement: default de la ressource d'organisation.

L'utilisation d'un tag par défaut sécurisé peut vous aider, mais pour éviter tout comportement involontaire, nous vous recommandons d'examiner les tags et les règles avec des conditions en place avant de déplacer vos ressources ou de supprimer des tags.

Supprimer des clés et des valeurs de tags

Avant de pouvoir supprimer une valeur de tag, vous devez supprimer toutes les liaisons de ressources qui l'utilisent.

Empêcher la suppression des valeurs de tag

Vous pouvez créer un niveau de protection supplémentaire pour vos valeurs de tag en associant un tagHold à une valeur de tag. Un élément TagHold, comme une liaison de tag, empêche un utilisateur de supprimer la valeur de tag.

Certaines ressources créent automatiquement un blocage de tag sur chaque valeur de tag associée à la ressource. Vous devez supprimer ce TagHold avant de pouvoir supprimer la valeur de tag.

Étapes suivantes