Creare e gestire i tag per le risorse VPC
Le reti VPC utilizzano le seguenti risorse che supportano i tag Resource Manager:
- Reti
- Subnet
- Route
- Regole firewall VPC
- Policy del firewall di rete globali
- Policy firewall di rete regionali
I tag di Resource Manager sono diversi dai tag di rete. In questo documento, il termine tag viene utilizzato per fare riferimento ai tag di Resource Manager.
Per un elenco di tutti i servizi che supportano i tag, consulta Servizi che supportano i tag.
Per informazioni sull'utilizzo dei tag nelle regole dei criteri firewall, vedi Tag per i firewall.
Informazioni sui tag
Un tag è una coppia chiave-valore che può essere collegata a una risorsa all'interno di Trusted Cloud by S3NS. Puoi utilizzare i tag per consentire o negare in modo condizionale i criteri a seconda che una risorsa abbia un tag specifico. Ad esempio, puoi concedere in modo condizionale ruoli Identity and Access Management (IAM) a seconda che una risorsa abbia un tag specifico. Per saperne di più sui tag, consulta la panoramica dei tag.
I tag vengono collegati alle risorse creando una risorsa di associazione dei tag che collega il valore alla Trusted Cloud by S3NS risorsa.
Per raggruppare le risorse VPC all'interno di Virtual Private Cloud a fini di automazione e fatturazione, utilizza le etichette. Tag ed etichette funzionano in modo indipendente e puoi applicarli entrambi alle risorse.Autorizzazioni obbligatorie
Le autorizzazioni necessarie dipendono dall'azione che devi eseguire.
Per ottenere queste autorizzazioni, chiedi all'amministratore di concedere il ruolo suggerito al livello appropriato della gerarchia delle risorse.
Visualizzare i tag
Per visualizzare le definizioni dei tag e i tag collegati alle risorse, devi disporre del ruolo
Visualizzatore tag (roles/resourcemanager.tagViewer
) o di un altro ruolo che
includa le seguenti autorizzazioni:
Autorizzazioni obbligatorie
resourcemanager.tagKeys.get
resourcemanager.tagKeys.list
resourcemanager.tagValues.list
resourcemanager.tagValues.get
listTagBindings
per il tipo di risorsa appropriato. Ad esempio,compute.instances.listTagBindings
per visualizzare i tag collegati alle istanze Compute Engine.listEffectiveTags
per il tipo di risorsa appropriato.
Ad esempio,
compute.instances.listEffectiveTags
per visualizzare
tutti i tag collegati o ereditati dalle istanze Compute Engine.
Per visualizzare i tag a livello di organizzazione, devi disporre del ruolo Visualizzatore organizzazione
(roles/resourcemanager.organizationViewer
) per la risorsa organizzazione.
Amministrare i tag
Per creare, aggiornare ed eliminare le definizioni dei tag, devi disporre del ruolo Amministratore tag (roles/resourcemanager.tagAdmin
) o di un altro ruolo che includa le seguenti autorizzazioni:
Autorizzazioni obbligatorie
resourcemanager.tagKeys.create
resourcemanager.tagKeys.update
resourcemanager.tagKeys.delete
resourcemanager.tagKeys.list
resourcemanager.tagKeys.get
resourcemanager.tagKeys.getIamPolicy
resourcemanager.tagKeys.setIamPolicy
resourcemanager.tagValues.create
resourcemanager.tagValues.update
resourcemanager.tagValues.delete
resourcemanager.tagValues.list
resourcemanager.tagValues.get
resourcemanager.tagValues.getIamPolicy
resourcemanager.tagValues.setIamPolicy
Per amministrare i tag a livello di organizzazione, devi disporre del ruolo
Visualizzatore organizzazione (roles/resourcemanager.organizationViewer
) per la risorsa
organizzazione.
Gestire i tag sulle risorse
Per aggiungere e rimuovere i tag collegati alle risorse, devi disporre del ruolo Utente tag (roles/resourcemanager.tagUser
) o di un altro ruolo con autorizzazioni equivalenti sia per il valore tag sia per le risorse a cui stai collegando il valore tag. Il ruolo Tagga utente include le seguenti autorizzazioni:
Autorizzazioni obbligatorie
- Autorizzazioni richieste per la risorsa a cui stai collegando il valore del tag
- Autorizzazione
createTagBinding
specifica per la risorsa, ad esempiocompute.instances.createTagBinding
per le istanze di Compute Engine. - Autorizzazione
deleteTagBinding
specifica per la risorsa, ad esempiocompute.instances.deleteTagBinding
per le istanze di Compute Engine. - Autorizzazioni richieste per il valore tag:
resourcemanager.tagValueBindings.create
resourcemanager.tagValueBindings.delete
- Autorizzazioni che consentono di visualizzare i progetti e le definizioni dei tag:
resourcemanager.tagValues.get
resourcemanager.tagValues.list
resourcemanager.tagKeys.get
resourcemanager.tagKeys.list
resourcemanager.projects.get
Per collegare tag alle risorse VPC, devi disporre del ruolo Amministratore di rete Compute (roles/compute.networkAdmin
).
Creare chiavi e valori dei tag
Prima di poter allegare un tag, devi crearne uno e configurarne il valore. Per creare chiavi e valori tag, consulta Creazione di un tag e Aggiunta di un valore tag.
Aggiungere tag durante la creazione della risorsa
Puoi aggiungere tag al momento della creazione di reti, subnet, route o regole firewall VPC. L'aggiunta di tag durante la creazione delle risorse ti consente di fornire immediatamente metadati essenziali per le tue risorse e aiuta anche a migliorare l'organizzazione, il monitoraggio dei costi e l'applicazione automatica dei criteri.
gcloud
Per collegare un tag a una risorsa durante la creazione, aggiungi il
flag --resource-manager-tags
con il rispettivo comando create
. Ad esempio, per collegare un tag a una rete, utilizza il seguente comando:
gcloud compute networks create NETWORK_NAME \ --resource-manager-tags=tagKeys/TAGKEY_ID=tagValues/TAGVALUE_ID
Sostituisci quanto segue:
NETWORK_NAME
: il nome della tua reteTAGKEY_ID
: l'ID numerico del numero della chiave del tagTAGVALUE_ID
: l'ID numerico permanente del valore del tag allegato, ad esempio:4567890123
Specifica più tag separandoli con una virgola, ad esempio TAGKEY1=TAGVALUE1,TAGKEY2=TAGVALUE2
API
Invia una richiesta POST
al seguente URL:
POST https://compute.googleapis.com/compute/v1/projects/PROJECT/global/networks
Fornisci il seguente JSON nel corpo della richiesta:
{ "name": "NETWORK_NAME", "params": { "resourceManagerTags": { "tagKeys/TAGKEY_ID": "tagValues/TAGVALUE_ID", }, } // Other fields omitted }
Sostituisci quanto segue:
NETWORK_NAME
: il nome della tua reteTAGKEY_ID
: l'ID numerico del numero della chiave del tagTAGVALUE_ID
: l'ID numerico permanente del valore del tag allegato, ad esempio:4567890123
Aggiungere tag alle risorse esistenti
Per aggiungere un tag alle risorse VPC esistenti:
gcloud
Per collegare un tag a una risorsa VPC, devi creare una risorsa di associazione di tag utilizzando il comando gcloud resource-manager tags bindings create
:
gcloud resource-manager tags bindings create \ --tag-value=TAGVALUE_NAME \ --parent=RESOURCE_ID \ --location=LOCATION
Sostituisci quanto segue:
TAGVALUE_NAME
: l'ID permanente o il nome con spazio dei nomi del valore tag allegato, ad esempiotagValues/567890123456
.-
RESOURCE_ID
è l'ID completo della risorsa, incluso il nome di dominio dell'API per identificare il tipo di risorsa (//compute.googleapis.com/
). Devi utilizzare gli ID numerici per le risorse, non i loro nomi. Ad esempio, un ID subnet ha un formato simile a questo://compute.googleapis.com/projects/123/regions/us-central1/subnetworks/456
. Un ID rete ha un formato simile a questo://compute.googleapis.com/projects/123/global/networks/789
LOCATION
: la posizione della risorsa. Se stai collegando un tag a una risorsa globale, come una cartella o un progetto, ometti questo flag. Se colleghi un tag a una risorsa regionale o di zona, devi specificare la posizione, ad esempious-central1
(regione) ous-central1-a
(zona).
Elenca i tag collegati alle risorse
Puoi visualizzare un elenco di associazioni di tag direttamente collegate o ereditate dalla risorsa VPC.
gcloud
Per ottenere un elenco di associazioni di tag collegate a una risorsa, utilizza il
comando gcloud resource-manager tags bindings list
:
gcloud resource-manager tags bindings list \ --parent=RESOURCE_ID \ --location=LOCATION
Sostituisci quanto segue:
-
RESOURCE_ID
è l'ID completo della risorsa, incluso il nome di dominio dell'API per identificare il tipo di risorsa (//compute.googleapis.com/
). Devi utilizzare gli ID numerici per le risorse, non i loro nomi. Ad esempio, un ID subnet ha un formato simile a questo://compute.googleapis.com/projects/123/regions/us-central1/subnetworks/456
. Un ID rete ha un formato simile a questo://compute.googleapis.com/projects/123/global/networks/789
LOCATION
: la posizione della risorsa. Se visualizzi un tag collegato a una risorsa globale, ad esempio una cartella o un progetto, ometti questo flag. Se visualizzi un tag collegato a una risorsa regionale o di zona, devi specificare la località, ad esempious-central1
(regione) ous-central1-a
(zona).
Dovresti ricevere una risposta simile alla seguente:
name: tagBindings/%2F%2Fcloudresourcemanager.googleapis.com%2Fprojects%2F7890123456/tagValues/567890123456 tagValue: tagValues/567890123456 resource: //compute.googleapis.com/projects/7890123456/subnetworks/subnetwork-ID
Scollegare i tag dalle risorse
Puoi scollegare i tag che sono stati collegati direttamente a una risorsa VPC. I tag ereditati possono essere sostituiti collegando un tag con la stessa chiave e un valore diverso, ma non possono essere scollegati.
gcloud
Per eliminare un'associazione di tag, utilizza il
comando gcloud resource-manager tags bindings delete
:
gcloud resource-manager tags bindings delete \ --tag-value=TAGVALUE_NAME \ --parent=RESOURCE_ID \ --location=LOCATION
Sostituisci quanto segue:
TAGVALUE_NAME
: l'ID permanente o il nome con spazio dei nomi del valore tag allegato, ad esempiotagValues/567890123456
.-
RESOURCE_ID
è l'ID completo della risorsa, incluso il nome di dominio dell'API per identificare il tipo di risorsa (//compute.googleapis.com/
). Devi utilizzare gli ID numerici per le risorse, non i loro nomi. Ad esempio, un ID subnet ha un formato simile a questo://compute.googleapis.com/projects/123/regions/us-central1/subnetworks/456
. Un ID rete ha un formato simile a questo://compute.googleapis.com/projects/123/global/networks/789
LOCATION
: la posizione della risorsa. Se stai collegando un tag a una risorsa globale, come una cartella o un progetto, ometti questo flag. Se colleghi un tag a una risorsa regionale o di zona, devi specificare la posizione, ad esempious-central1
(regione) ous-central1-a
(zona).
Eliminare chiavi e valori dei tag
Quando rimuovi una definizione di chiave o valore del tag, assicurati che il tag sia scollegato dalla risorsa VPC. Prima di eliminare la definizione del tag, devi eliminare gli allegati esistenti, chiamati associazioni di tag. Per eliminare chiavi tag e valori tag, consulta la sezione Eliminare i tag.
Condizioni e tag di Identity and Access Management
Puoi utilizzare i tag e le condizioni IAM per concedere in modo condizionale le associazioni di ruoli agli utenti della gerarchia. La modifica o l'eliminazione del tag associato a una risorsa può rimuovere l'accesso utente a quella risorsa se è stata applicata una policy IAM con associazioni di ruoli condizionali. Per maggiori informazioni, consulta Condizioni e tag di Identity and Access Management.
Passaggi successivi
- Scopri gli altri servizi che supportano i tag.
- Consulta Tag e controllo dell'accesso per scoprire come utilizzare i tag con IAM.