Introduzione ai tag

I tag sono coppie chiave-valore che puoi collegare alle tue risorseCloud de Confiance by S3NS per annotarle e applicare le policy in modo condizionale. Questa applicazione condizionale ti offre un controllo granulare sulle risorse in tutta la gerarchia delle risorse Cloud de Confiance by S3NS .

La gerarchia delle risorse di Cloud de Confianceorganizza le risorse in una struttura ad albero per aiutarti a gestirle su larga scala. Tuttavia, questa gerarchia modella solo alcune dimensioni aziendali, tra cui la struttura organizzativa, le regioni, i tipi di workload e i centri di costo. I tag offrono la flessibilità di raggruppare più dimensioni aziendali nella gerarchia.

Tag ed etichette

Le etichette sono un modo separato per creare annotazioni per le risorse. La seguente tabella elenca alcune delle differenze tra tag ed etichette:

Tag Etichette
Struttura delle risorse Le chiavi tag, i valori tag e le associazioni dei tag sono tutte risorse distinte Non è una risorsa in sé, ma i metadati per le risorse
Definizione Definite a livello di organizzazione o di progetto Definito da ogni risorsa
Controllo degli accessi La gestione e il collegamento dei tag richiedono ruoli di Identity and Access Management (IAM) Il collegamento delle etichette richiede ruoli IAM, che variano in base alla risorsa del servizio
Prerequisito per il collegamento La chiave e il valore del tag devono essere definiti prima che un tag possa essere collegato a una risorsa Nessun prerequisito per il collegamento
Ereditarietà Le associazioni dei tag vengono ereditate dalle risorse figlio nella gerarchia Cloud de Confiance by S3NS Non ereditato dai figli della risorsa
Requisiti per l'eliminazione I tag non possono essere eliminati a meno che non esistano associazioni di tag per quel tag Può essere rimosso da una risorsa in qualsiasi momento
Requisiti di denominazione Requisiti per i valori tag e le chiavi tag Requisiti per le etichette
Lunghezza del nome della coppia chiave-valore Massimo 256 caratteri Massimo 63 caratteri
Supporto delle policy di autorizzazione e di negazione I tag possono essere richiamati dalle condizioni delle policy di autorizzazione e dalle condizioni delle policy di negazione Nessun supporto per le policy di autorizzazione e di negazione
Supporto delle policy dell'organizzazione I tag su alcune risorse possono essere richiamati da vincoli condizionali delle policy dell'organizzazione Nessun supporto delle policy dell'organizzazione
Integrazione con la fatturazione Cloud Esegui storni di addebito, audit e altre analisi di allocazione dei costi, esporta i dati di costo fatturato di fatturazione Cloud in BigQuery Filtra le risorse per etichetta nella fatturazione Cloud, esporta i dati di fatturazione Cloud in BigQuery

Per saperne di più sulle etichette, consulta Creazione e gestione delle etichette.

Tag semantici

Un tag semantico è una coppia chiave-valore che fornisce metadati significativi per le tue risorse con una semantica forte e standardizzata supportata dalle convenzioni OpenTelemetry (OTel).

Puoi utilizzare i tag semantici con le risorse App Hub. Quando imposti gli attributi su servizi e workload in App Hub, App Hub li replica automaticamente come tag semantici di sistema di sola lettura sulle risorse sottostanti dirette.

I tag semantici di sistema sono di sola lettura. Non puoi modificare o rimuovere questi tag di sistema direttamente utilizzando l'API Tags o la console Cloud de Confiance . La gestione dei tag avviene all'interno di App Hub.

Tag semantici replicati di App Hub

Se utilizzi App Hub, gli attributi Ambiente e Criticità impostati sui tuoi servizi o workload vengono replicati automaticamente come tag semantici di sistema di sola lettura nello spazio dei nomi dedicato google:AppHub.

I tag di sistema supportati includono:

  • google:AppHub/environment: valori derivati da App Hub, ad esempio PRODUCTION o STAGING.
  • google:AppHub/criticality: valori derivati da App Hub, ad esempio MISSION_CRITICAL o HIGH.

La visualizzazione del contesto di App Hub come tag di sistema garantisce che i servizi downstream, come la console Cloud de Confiance , utilizzino metadati autorevoli per applicare le policy di governance e sicurezza senza i rischi associati alla configurazione manuale.

Per saperne di più sulla gestione dei tag semantici, consulta Visualizza e gestisci i tag semantici.

Il catalogo semantico

Il catalogo semantico fornisce un elenco delle semantiche disponibili e della loro mappatura agli attributi supportati da OpenTelemetry (OTel). Puoi sfogliare questo catalogo nella console Cloud de Confiance o visualizzare i dettagli utilizzando le API.

Per saperne di più sull'accesso al catalogo, consulta Visualizza il catalogo semantico.

Chiave semantica Chiave attributo OTel Valore semantico Valore dell'attributo OTel
ENVIRONMENT deployment.environment.name PRODUCTION production
STAGING staging
TEST test
DEVELOPMENT development
CRITICALITY service.criticality MISSION_CRITICAL critical
HIGH high
MEDIUM medium
LOW low

Limitazioni dei tag semantici

I tag semantici presentano le seguenti limitazioni:

  • Associazioni personalizzate: non puoi associare direttamente i tag semantici ENVIRONMENT o CRITICALITY alle risorse o ai nodi di Resource Manager (progetti, cartelle o organizzazioni) tramite l'API Tags.
  • Semantica definita dall'utente: la promozione dei tag esistenti a tag semantici non è supportata.
  • Solo risorse dirette: la sincronizzazione si applica solo alle risorse dirette registrate in App Hub. Non si propaga alle risorse nidificate o indirette all'interno di un servizio o di un workload (ad esempio, singole VM in un MIG).

Creazione di tag

I tag sono strutturati come coppia chiave-valore. È possibile creare una risorsa chiave tag nelle risorse dell'organizzazione o del progetto, mentre i valori dei tag sono risorse collegate a una chiave, ad esempio una chiave tag environment con i valori production e development.

Amministrazione dei tag

Gli amministratori possono controllare l'utilizzo dei tag limitando chi può creare, aggiornare, eliminare e collegare i tag alle risorse. Possono selezionare un singolo tag per apportare modifiche, ad esempio per aggiungere o rimuovere valori e aggiornare la descrizione. In questo modo, puoi controllare i tag in modo granulare.

I tag possono avere una descrizione che viene visualizzata quando vengono recuperate le informazioni sul tag. La descrizione aiuta gli utenti che collegano il tag alla risorsa a comprenderne lo scopo.

In un progetto o un'organizzazione principale, ogni chiave tag deve essere univoca. In questo modo, ogni valore del tag, quando è associato a una risorsa, crea un accoppiamento univoco con la relativa chiave del tag.

Policy e tag

Puoi utilizzare i tag e le condizioni IAM insieme per:

Dopo aver creato un valore tag, puoi associarlo alle risorse. Puoi quindi creare policy IAM con condizioni che identificano le risorse in base all'associazione o meno di una chiave tag alla risorsa. Per informazioni sull'utilizzo dei tag e delle condizioni IAM, consulta Tag e accesso condizionale.

Impatto delle modifiche ai tag

Se utilizzi i tag per concedere o negare l'accesso in modo condizionale o per definire l'ambito delle policy dell'organizzazione, l'associazione o la disassociazione di un tag da una risorsa può modificare l'impatto di queste policy.

Ad esempio, supponiamo che tu abbia un gruppo di sviluppatori che devono gestire le istanze di Compute Engine, ma solo quelle utilizzate per lo sviluppo:

  1. Definizioni dei tag: hai una chiave tag 123456789012/env con i valori dev e prod.
  2. Accesso condizionale: concedi il ruolo Compute Instance Admin (roles/compute.instanceAdmin) al gruppo di sviluppatori. Aggiungi un'associazione di ruoli che consente l'accesso solo se la risorsa ha il tag env: dev.
  3. Effetti delle modifiche:
    • Associazione dei tag: associa il tag env: dev a un'istanza. L'associazione di ruoli condizionale ora concede agli sviluppatori l'accesso per gestire l'istanza.
    • Scollegamento dei tag: in un secondo momento, la stessa istanza viene promossa in produzione. Scolleghi il tag env: dev e colleghi il tag env: prod. L'associazione di ruoli condizionale non concede più agli sviluppatori l'accesso per gestire questa istanza.

In genere, le modifiche ai tag diventano effettive entro 2 minuti. Tuttavia, la propagazione completa delle modifiche nel sistema può richiedere fino a 7 minuti. Questo ritardo di propagazione si applica alla rapidità con cui l'accesso viene concesso o revocato o alla rapidità con cui una policy dell'organizzazione diventa effettiva dopo l'associazione o l'annullamento dell'associazione di un tag.

Applicazione di tag obbligatori utilizzando le policy dell'organizzazione

Puoi applicare i tag obbligatori alle risorse utilizzando una policy dell'organizzazione personalizzata. Quando applichi i tag obbligatori, puoi creare solo risorse conformi alle policy di tagging della tua organizzazione, ovvero risorse associate ai valori dei tag per le chiavi dei tag obbligatorie specificate nella policy. Per saperne di più, consulta Configura un vincolo personalizzato per applicare i tag.

L'applicazione dei tag obbligatori è supportata per i seguenti tipi di risorse:

  • Progetti e cartelle di Resource Manager
  • Istanze Filestore
  • Risorse di cluster e backup di AlloyDB per PostgreSQL
  • Workflow di Workflows
  • Risorse di Compute Engine:
    • Istanze
    • Dischi
    • Gateway VPN esterni
    • Gateway VPN
    • Gateway VPN di destinazione
    • Tunnel VPN
    • Interconnessioni
    • Collegamenti di interconnessione
    • Servizi di backend
    • Servizi di backend regionali
    • Bucket di backend
  • Risorse VPC:
    • Reti
    • Subnet
    • Regole firewall
    • Route

Ereditarietà dei tag

Quando un valore del tag viene collegato a una risorsa, per impostazione predefinita tutti i discendenti della risorsa ereditano lo stesso valore del tag. Puoi eseguire l'override di un valore del tag ereditato su una risorsa discendente. Per eseguire l'override di un valore del tag ereditato, associa un valore del tag diverso alla risorsa discendente. Il valore del tag diverso deve utilizzare la stessa chiave tag del valore del tag ereditato.

Ad esempio, supponiamo di applicare il tag environment: development a una cartella e che la cartella abbia due cartelle secondarie denominate team-a e team-b. Puoi anche applicare un tag diverso, environment: test, alla cartella team-b. Di conseguenza, i progetti e le altre risorse nella cartella team-a ereditano il tag environment: development, mentre i progetti e le altre risorse nella cartella team-b ereditano il tag environment: test:

Gerarchia delle risorse con tag

Gerarchia delle risorse con tag

Se rimuovi il tag environment: test dalla cartella team-b, la cartella e le relative risorse ereditano il tag environment: development.

Tutti i tag associati a ed ereditati da una risorsa vengono denominati collettivamente tag effettivi. I tag effettivi di una risorsa sono una combinazione dei tag direttamente associati alla risorsa e di tutti i tag associati a tutti gli antenati della risorsa nella gerarchia.

Quando utilizzi i tag con le condizioni IAM, ti consigliamo di creare un valore di tag predefinito sicuro per ogni chiave tag utilizzata dalle condizioni IAM. Applica il valore del tag predefinito sicuro associandolo alla tua organizzazione in modo che venga ereditato da tutte le risorse al suo interno. Modifica il valore del tag solo eseguendo l'override esplicito delle associazioni ereditate sulle risorse pertinenti.

Ad esempio, supponiamo che tu abbia una condizione IAM che dipende dal valore tag on per la chiave tag enforcement e che la chiave tag abbia anche un valore tag off. Associa il valore del tag enforcement: off all'organizzazione per creare un'impostazione predefinita sicura che viene ereditata da tutte le risorse all'interno dell'organizzazione. Associa il valore tag enforcement: on solo alle risorse selezionate all'interno dell'organizzazione.

Puoi quindi scrivere policy che fanno riferimento alla chiave tag enforcement, con condizioni che influiscono su una risorsa se è enforcement: on o enforcement: off e un caso sicuro se è enforcement: default. Se la chiave tag enforcement viene rimossa da una risorsa, quest'ultima può ereditare il valore del tag per enforcement dalla risorsa padre. Se nessuna risorsa padre ha la chiave tag enforcement, la risorsa eredita enforcement: default dalla risorsa dell'organizzazione.

L'utilizzo di un tag predefinito sicuro può essere utile, ma per evitare comportamenti indesiderati, ti consigliamo di esaminare i tag e le policy con condizioni applicate prima di spostare le risorse o rimuovere i tag.

Eliminazione di chiavi e valori dei tag

Prima di poter eliminare un valore tag, devi eliminare tutte le associazioni di risorse che utilizzano il valore tag.

Protezione dei valori dei tag dall'eliminazione

Puoi creare un ulteriore livello di protezione per i valori dei tag collegando un blocco dei tag a un valore dei tag. Un blocco dei tag, come un'associazione dei tag, impedisce a un utente di eliminare il valore del tag.

Alcune risorse creano automaticamente un blocco dei tag su ogni valore tag collegato alla risorsa. Questo blocco del tag deve essere rimosso prima di poter eliminare il valore del tag.

Passaggi successivi