Créer et gérer des tags pour les ressources VPC

Les réseaux VPC utilisent les ressources suivantes qui sont compatibles avec les tags Resource Manager :

• Réseaux
• Sous-réseaux
• Routes
• Règles de pare-feu VPC
• Stratégies de pare-feu de réseau au niveau mondial
• Stratégies de pare-feu de réseau régionales

Les tags Resource Manager sont différents des tags réseau. Dans ce document, le terme tags désigne les tags Resource Manager.

Pour obtenir la liste de tous les services compatibles avec les tags, consultez la section Services compatibles avec les tags.

Pour en savoir plus sur l'utilisation de tags dans les règles de stratégie de pare-feu, consultez la section Tags pour les pare-feu.

À propos des tags

Un tag est une paire clé-valeur qui peut être associée à une ressource dansCloud de Confiance by S3NS. Vous pouvez utiliser des tags pour autoriser ou refuser de manière conditionnelle les règles selon qu'une ressource dispose ou non d'un tag spécifique. Par exemple, vous pouvez attribuer des rôles IAM (Identity and Access Management) de manière conditionnelle selon qu'une ressource est associée à un tag spécifique. Pour en savoir plus sur les tags, consultez la page Présentation des tags.

Les tags sont associés à des ressources en créant une ressource de liaison de tag qui associe la valeur à la ressource Cloud de Confiance by S3NS .

Autorisations requises

Pour obtenir les autorisations nécessaires pour gérer les tags, demandez à votre administrateur de vous accorder les rôles IAM suivants :

• Lecteur de tags (roles/resourcemanager.tagViewer) sur les ressources auxquelles les tags sont associés
• Afficher et gérer les tags au niveau de l'organisation : Lecteur de l'organisation (roles/resourcemanager.organizationViewer) sur l'organisation
• Créer, mettre à jour et supprimer des définitions de tags : Administrateur de tags (roles/resourcemanager.tagAdmin) sur la ressource pour laquelle vous créez, mettez à jour ou supprimez des tags
• Associer et dissocier des tags à des ressources : Utilisateur de tags (roles/resourcemanager.tagUser) sur la valeur de tag et les ressources auxquelles vous associez ou dissociez la valeur de tag

Pour en savoir plus sur l'attribution de rôles, consultez Gérer l'accès aux projets, aux dossiers et aux organisations.

Vous pouvez également obtenir les autorisations requises avec des rôles personnalisés ou d'autres rôles prédéfinis.

Pour associer des tags à des ressources VPC, vous devez disposer du rôle Administrateur de réseaux Compute (roles/compute.networkAdmin).

Créer des clés et des valeurs de tags

Avant de pouvoir associer un tag, vous devez d'abord créer un tag et configurer sa valeur. Pour créer des clés et des valeurs de tags, consultez les sections Créer un tag et Ajouter une valeur de tag.

Ajouter des tags lors de la création d'une ressource

Vous pouvez ajouter des tags lorsque vous créez des réseaux, des sous-réseaux, des routes ou des règles de pare-feu VPC. L'ajout de tags lors de la création de ressources vous permet de fournir instantanément des métadonnées essentielles pour vos ressources. Il vous aide également à mieux les organiser, à suivre les coûts et à appliquer des règles de manière automatisée.

gcloud compute networks create NETWORK_NAME \
    --resource-manager-tags=tagKeys/TAGKEY_ID=tagValues/TAGVALUE_ID

      POST https://compute.googleapis.com/compute/v1/projects/PROJECT/global/networks

      
    {
      "name": "NETWORK_NAME",
      "params": {
        "resourceManagerTags": {
          "tagKeys/TAGKEY_ID": "tagValues/TAGVALUE_ID",
        },
      }
      // Other fields omitted
    }

Ajouter des tags à des ressources existantes

Pour ajouter un tag à des ressources VPC existantes, procédez comme suit :

      gcloud resource-manager tags bindings create \
          --tag-value=TAGVALUE_NAME \
          --parent=RESOURCE_ID \
          --location=LOCATION
      

Répertorier les tags associés aux ressources

Vous pouvez afficher une liste de liaisons de tags directement associées à la ressource VPC ou dont celle-ci a hérité.

      gcloud resource-manager tags bindings list \
          --parent=RESOURCE_ID \
          --location=LOCATION
      

name: tagBindings/%2F%2Fcloudresourcemanager.googleapis.com%2Fprojects%2F7890123456/tagValues/567890123456
          tagValue: tagValues/567890123456
          resource: //compute.googleapis.com/projects/7890123456/subnetworks/subnetwork-ID
      

Dissocier les tags des ressources

Vous pouvez dissocier les tags qui ont été directement associés à une ressource VPC. Les tags hérités peuvent être remplacés en associant un tag ayant la même clé et une valeur différente, mais ils ne peuvent pas être dissociés.

      gcloud resource-manager tags bindings delete \
          --tag-value=TAGVALUE_NAME \
          --parent=RESOURCE_ID \
          --location=LOCATION
      

Supprimer des clés et des valeurs de tags

Lorsque vous supprimez une clé ou une définition de valeur de tag, assurez-vous que le tag est dissocié de la ressource VPC. Vous devez supprimer les rattachements de tag existants, appelés liaisons de tags, avant de supprimer la définition de tag elle-même. Pour supprimer des clés et des valeurs de tags, consultez la section Supprimer des tags.

Conditions et tags Identity and Access Management

Vous pouvez utiliser des tags et des conditions IAM pour attribuer des liaisons de rôles de manière conditionnelle aux utilisateurs dans votre hiérarchie. La modification ou la suppression du tag associé à une ressource peut supprimer l'accès des utilisateurs à cette ressource, si une stratégie IAM avec des liaisons de rôle conditionnelles a été appliquée. Pour en savoir plus, consultez la section Conditions et tags Identity and Access Management.

Étapes suivantes

• Consultez les autres services compatibles avec les tags.
• Consultez la section Tags et contrôle des accès pour apprendre à utiliser les tags avec IAM.