יצירה וניהול של תגים למשאבי VPC

רשתות VPC משתמשות במשאבים הבאים שתומכים בתגי מנהל המשאבים:

תגי מנהל המשאבים שונים מתגי רשת. במסמך הזה, המונח תגים מתייחס לתגים של מנהל המשאבים.

כאן אפשר לראות רשימה של כל השירותים שתומכים בתגים.

למידע על צירוף תגים למשאבי מדיניות חומת אש לצורך ניהול מישור הבקרה, ראו יצירה וניהול של תגים למשאבי חומת אש. מידע על שימוש בתגים לסינון תנועת רשת של מכונות וירטואליות זמין במאמר ניהול תנועה של מכונות וירטואליות באמצעות תגים מאובטחים.

מידע על התגים

תג הוא צמד מפתח/ערך שאפשר לצרף למשאב ב-Google Cloud. אתם יכולים להשתמש בתגים כדי להגדיר תנאי לאישור או לדחייה של כללי מדיניות אם תג ספציפי מצורף או לא מצורף למשאב. לדוגמה, אתם יכולים להתנות את מתן התפקידים ב-IAM בהתאם לתגים. לסקירה כללית על התגים

כדי לצרף תגים למשאבים, יוצרים משאב של קישור תגים שמקשר את הערך ל Google Cloud משאב.

כדי לקבץ משאבי VPC בענן וירטואלי פרטי לצורך אוטומציה וחיוב, משתמשים בתוויות. תגים ותוויות פועלים בנפרד זה מזה, ואפשר להחיל את שניהם על משאבים.

ההרשאות הנדרשות

כדי לקבל את ההרשאות שדרושות לניהול תגים, צריך לבקש מהאדמין להקצות לכם את תפקידי ה-IAM הבאים:

  • ‫Tag Viewer (roles/resourcemanager.tagViewer) במשאבים שהתגים מצורפים אליהם
  • כדי להציג ולנהל תגים ברמת הארגון: צפייה בארגון (roles/resourcemanager.organizationViewer) באותו ארגון
  • יצירה, עדכון ומחיקה של הגדרות תגים: Tag Administrator (roles/resourcemanager.tagAdmin) on the resource you're creating, updating, or deleting tags for
  • צירוף והסרה של תגים ממשאבים: Tag User (roles/resourcemanager.tagUser) על ערך התג ועל המשאבים שאתם מצרפים או מסירים מהם את ערך התג

להסבר על מתן תפקידים, ראו איך מנהלים את הגישה ברמת הפרויקט, התיקייה והארגון.

יכול להיות שאפשר לקבל את ההרשאות הנדרשות גם באמצעות תפקידים בהתאמה אישית או תפקידים מוגדרים מראש.

כדי לצרף תגים למשאבי VPC, צריך את התפקיד אדמין רשתות ב-Compute (roles/compute.networkAdmin).

יצירת מפתחות וערכים של תגים

לפני שמצרפים תג, צריך ליצור תג ולהגדיר את הערך שלו. במאמרים יצירת תג והוספת ערך תג מוסבר איך יוצרים מפתחות תגים וערכי תגים.

הוספת תגים במהלך יצירת משאב

אפשר להוסיף תגים כשיוצרים רשתות, רשתות משנה או מסלולים. הוספת תגים מאפשרת לספק באופן מיידי מטא-נתונים חיוניים לרשתות, לתת-רשתות או למסלולים, וגם עוזרת לשפר את הארגון, לעקוב אחרי עלויות ולהחיל מדיניות באופן אוטומטי.

gcloud

כדי לצרף תג למשאב במהלך יצירת המשאב, מוסיפים את הדגל --resource-manager-tags עם הפקודה המתאימה create. לדוגמה, כדי לצרף תג לרשת, משתמשים בפקודה הבאה:

gcloud compute networks create NETWORK_NAME \
    --resource-manager-tags=tagKeys/TAGKEY_ID=tagValues/TAGVALUE_ID

מחליפים את מה שכתוב בשדות הבאים:

  • ‫NETWORK_NAME: השם של הרשת
  • ‫TAGKEY_ID: המזהה המספרי של מפתח התג
  • ‫TAGVALUE_ID: המזהה המספרי הקבוע של ערך התג שמצורף, לדוגמה: 4567890123

כדי לציין כמה תגים, מפרידים ביניהם באמצעות פסיק, לדוגמה, TAGKEY1=TAGVALUE1,TAGKEY2=TAGVALUE2

API

שולחים בקשת POST לכתובת ה-URL הבאה:

      POST https://compute.googleapis.com/compute/v1/projects/PROJECT/global/networks

בגוף הבקשה, מציינים את ה-JSON הבא:

      
    {
      "name": "NETWORK_NAME",
      "params": {
        "resourceManagerTags": {
          "tagKeys/TAGKEY_ID": "tagValues/TAGVALUE_ID",
        },
      }
      // Other fields omitted
    }

מחליפים את מה שכתוב בשדות הבאים:

  • ‫NETWORK_NAME: השם של הרשת
  • ‫TAGKEY_ID: המזהה המספרי של מפתח התג
  • ‫TAGVALUE_ID: המזהה המספרי הקבוע של ערך התג שמצורף, לדוגמה: 4567890123

הוספת תגים למשאבים קיימים

כדי להוסיף תג למשאבי VPC קיימים, פועלים לפי השלבים הבאים:

gcloud

כדי לצרף תג למשאב VPC, צריך ליצור משאב של קישור תגים באמצעות הפקודה gcloud resource-manager tags bindings create:

      gcloud resource-manager tags bindings create \
          --tag-value=TAGVALUE_NAME \
          --parent=RESOURCE_ID \
          --location=LOCATION

מחליפים את מה שכתוב בשדות הבאים:

  • ‫TAGVALUE_NAME: המזהה הקבוע או השם ממרחב השמות של ערך התג שמצרפים למשאב – לדוגמה, tagValues/567890123456.
  • ‫RESOURCE_ID הוא המזהה המלא של המשאב, כולל שם הדומיין של ה-API לזיהוי סוג המשאב (//compute.googleapis.com/). חובה להשתמש במזהים המספריים של המשאבים, ולא בשמות שלהם. לדוגמה, מזהה של רשת משנה נראה כך: //compute.googleapis.com/projects/123/regions/us-central1/subnetworks/456. מזהה רשת הוא בפורמט דומה לזה: //compute.googleapis.com/projects/123/global/networks/789
  • ‫LOCATION: המיקום של המשאב. אם מצרפים תג למשאב גלובלי, כמו תיקייה או פרויקט, לא צריך להשתמש בדגל הזה. אם מצרפים תג למשאב אזורי או למשאב של תחום מוגדר, צריך לציין את המיקום – לדוגמה, us-central1 (אזור) או us-central1-a (תחום).

הצגת רשימת תגים שמצורפים למשאבים

אפשר לראות רשימה של קישורי תגים שמצורפים ישירות למשאב VPC או עוברים אליו בירושה.

gcloud

כדי לקבל רשימה של התאמות תגים שצורפו למשאב, משתמשים בפקודה gcloud resource-manager tags bindings list:

      gcloud resource-manager tags bindings list \
          --parent=RESOURCE_ID \
          --location=LOCATION

מחליפים את מה שכתוב בשדות הבאים:

  • ‫RESOURCE_ID הוא המזהה המלא של המשאב, כולל שם הדומיין של ה-API לזיהוי סוג המשאב (//compute.googleapis.com/). חובה להשתמש במזהים המספריים של המשאבים, ולא בשמות שלהם. לדוגמה, מזהה של רשת משנה נראה כך: //compute.googleapis.com/projects/123/regions/us-central1/subnetworks/456. מזהה רשת הוא בפורמט דומה לזה: //compute.googleapis.com/projects/123/global/networks/789
  • ‫LOCATION: המיקום של המשאב. אם אתם צופים בתג שמצורף למשאב גלובלי, כמו תיקייה או פרויקט, אל תכללו את הדגל הזה. אם צופים בתג שמצורף למשאב אזורי או למשאב של תחום (zone), צריך לציין את המיקום – לדוגמה, us-central1 (אזור) או us-central1-a (תחום).

אמורה להתקבל תגובה שדומה לזו:

name: tagBindings/%2F%2Fcloudresourcemanager.googleapis.com%2Fprojects%2F7890123456/tagValues/567890123456
          tagValue: tagValues/567890123456
          resource: //compute.googleapis.com/projects/7890123456/subnetworks/subnetwork-ID

ניתוק תגים ממשאבים

אפשר לנתק תגים שצורפו ישירות למשאב VPC. אפשר לדרוס תגים שעברו בירושה על ידי צירוף תג עם אותו מפתח וערך שונה, אבל אי אפשר לנתק אותם.

gcloud

כדי למחוק קישור תג, משתמשים בפקודה gcloud resource-manager tags bindings delete:

      gcloud resource-manager tags bindings delete \
          --tag-value=TAGVALUE_NAME \
          --parent=RESOURCE_ID \
          --location=LOCATION

מחליפים את מה שכתוב בשדות הבאים:

  • ‫TAGVALUE_NAME: המזהה הקבוע או השם ממרחב השמות של ערך התג שמצורף – לדוגמה, tagValues/567890123456.
  • ‫RESOURCE_ID הוא המזהה המלא של המשאב, כולל שם הדומיין של ה-API לזיהוי סוג המשאב (//compute.googleapis.com/). חובה להשתמש במזהים המספריים של המשאבים, ולא בשמות שלהם. לדוגמה, מזהה של רשת משנה נראה כך: //compute.googleapis.com/projects/123/regions/us-central1/subnetworks/456. מזהה רשת הוא בפורמט דומה לזה: //compute.googleapis.com/projects/123/global/networks/789
  • ‫LOCATION: המיקום של המשאב. אם מצרפים תג למשאב גלובלי, כמו תיקייה או פרויקט, לא צריך להשתמש בדגל הזה. אם מצרפים תג למשאב אזורי או למשאב של תחום מוגדר, צריך לציין את המיקום – לדוגמה, us-central1 (אזור) או us-central1-a (תחום).

מחיקת מפתחות וערכים של תגים

כשמסירים הגדרה של מפתח או ערך של תג, צריך לוודא שהתג מנותק ממשאב ה-VPC. לפני שמוחקים את הגדרת התג עצמה, צריך למחוק את הקבצים הקיימים של התגים, שנקראים tag bindings. כדי למחוק מפתחות תגים וערכי תגים, אפשר לעיין במאמר בנושא מחיקת תגים.

תנאים ותגים בניהול הזהויות והרשאות הגישה (IAM)

אתם יכולים להשתמש בתגים ובתנאים של IAM כדי להעניק קישורי תפקידים למשתמשים בהיררכיה שלכם באופן מותנה. שינוי או מחיקה של התג שמצורף למשאב עלולים להסיר את גישת המשתמש למשאב הזה אם הוחלה מדיניות IAM עם קישורי תפקידים מותנים. למידע נוסף, קראו את המאמר תנאים ותגים לניהול זהויות והרשאות גישה (IAM).

המאמרים הבאים