Controla el acceso con etiquetas

En esta página, se describe cómo usar etiquetas para administrar recursos en Cloud Data Fusion.

Puedes adjuntar etiquetas a instancias de Cloud Data Fusion. Agregar etiquetas proporciona metadatos esenciales para tus recursos y ayuda con la organización, el seguimiento de costos y la aplicación automatizada de políticas.

Acerca de las etiquetas de política

Una etiqueta es un par clave-valor que puedes adjuntar a un recurso dentro de Google Cloud. Puedes usar etiquetas para permitir o denegar políticas de forma condicional en función de si un recurso tiene una etiqueta específica. Por ejemplo, puedes otorgar de forma condicional roles de Identity and Access Management (IAM) en función de si un recurso tiene una etiqueta específica. Para obtener más información sobre las etiquetas, consulta Descripción general de las etiquetas.

Las etiquetas se conectan a los recursos con la creación de un recurso de vinculación de etiqueta que vincula el valor al Google Cloud recurso.

Antes de comenzar

Para obtener permisos para los siguientes casos de uso, pídele a tu administrador que otorgue el rol sugerido en el nivel adecuado de la jerarquía de recursos. Para obtener más información sobre IAM en Cloud Data Fusion, consulta Control de acceso con IAM.

Roles y permisos requeridos

Para obtener los permisos que necesitas para usar etiquetas para administrar instancias en Cloud Data Fusion, pídele a tu administrador que te otorgue los siguientes roles de IAM en la cuenta de servicio de Cloud Data Fusion y en la cuenta de servicio predeterminada de Compute Engine o en la cuenta de servicio personalizada:

  • Para ver las definiciones y etiquetas de etiquetas que se adjuntan a las instancias: Visualizador de etiquetas (roles/resourcemanager.tagViewer)
  • Para crear, actualizar y borrar definiciones de etiquetas: Administrador de etiquetas (roles/resourcemanager.tagAdmin)
  • Para administrar etiquetas a nivel de la organización, usa el rol Visualizador de la organización (roles/resourcemanager.organizationViewer) en el recurso de la organización.
  • Para agregar y quitar etiquetas adjuntas a las instancias: Usuario de etiquetas (roles/resourcemanager.tagUser) en el valor de etiqueta y los recursos a los que adjuntas el valor de etiqueta.
  • Para adjuntar etiquetas a instancias de Cloud Data Fusion: Administrador de Cloud Data Fusion (roles/datafusion.admin)

Para obtener más información sobre cómo otorgar roles, consulta Administra el acceso a proyectos, carpetas y organizaciones.

Estos roles predefinidos contienen los permisos necesarios para usar etiquetas para administrar instancias en Cloud Data Fusion. Para ver los permisos exactos que son necesarios, expande la sección Permisos requeridos:

Permisos necesarios

Se requieren los siguientes permisos para usar etiquetas para administrar instancias en Cloud Data Fusion:

  • resourcemanager.tagKeys.get
  • resourcemanager.tagKeys.list
  • resourcemanager.tagValues.get
  • resourcemanager.tagValues.list
  • listTagBindings para el tipo de recurso adecuado. Por ejemplo, para ver las etiquetas adjuntas a instancias de Cloud Data Fusion: datafusion.instances.listTagBindings
  • listEffectiveTags para el tipo de recurso adecuado. Por ejemplo, para ver todas las etiquetas adjuntas a las instancias de Cloud Data Fusion o heredadas de ellas: datafusion.instances.listEffectiveTags

También puedes obtener estos permisos con roles personalizados o otros roles predefinidos.

Crea claves y valores de etiqueta

Antes de poder adjuntar una etiqueta, debes crear una y configurar su valor. Para crear valores y claves de etiqueta, consulta Crea una etiqueta y Agrega valores de etiqueta.

Adjunta etiquetas a instancias de Cloud Data Fusion

Puedes adjuntar etiquetas a una instancia de Cloud Data Fusion durante la creación de la instancia y después de ella.

Adjunta etiquetas durante la creación de la instancia

Puedes adjuntar etiquetas cuando creas una instancia de Cloud Data Fusion.

gcloud

Usa el gcloud beta data-fusion instances create comando con la --tags marca:

gcloud beta data-fusion instances create INSTANCE_ID \
    --tags=tagKeys/TAGKEY_ID=tagValues/TAGVALUE_ID

Se pueden agregar varias etiquetas a la vez.

Reemplaza lo siguiente:

  • INSTANCE_ID: El nombre de tu instancia de Cloud Data Fusion.
  • TAGKEY_ID: El ID numérico de la clave de etiqueta, sin un espacio de nombres, por ejemplo, 123456789012.
  • TAGVALUE_ID: El ID numérico permanente del valor de la etiqueta. Por ejemplo, 4567890123.

REST

Envía una solicitud POST a la siguiente URL:

POST https://datafusion.googleapis.com/v1/projects/PROJECT_ID/locations/LOCATION/instances?instanceID=INSTANCE_ID

Proporciona el siguiente JSON en el cuerpo de la solicitud:

{
    "tags": {
        "tagKeys/TAGKEY_ID": "tagValues/TAGVALUE_ID"
    }
    // Other fields omitted
}

Reemplaza lo siguiente:

  • PROJECT_ID: El ID de tu proyecto.
  • INSTANCE_ID: El nombre de tu instancia de Cloud Data Fusion.
  • TAGKEY_ID: El ID numérico de la clave de etiqueta.
  • TAGVALUE_ID: El ID numérico permanente del valor de la etiqueta. Por ejemplo, 4567890123.

Para obtener más información, consulta las v1 y v1beta1 referencias de la API.

Puedes agregar varias etiquetas a la vez.

Adjunta etiquetas después de crear la instancia

Puedes adjuntar etiquetas a una instancia de Cloud Data Fusion después de crearla.

gcloud

Para adjuntar una etiqueta a una instancia, debes crear un recurso de vinculación de etiqueta con el comando create:

gcloud resource-manager tags bindings create \
  --tag-value=TAGVALUE_NAME \
  --parent=RESOURCE_ID \
  --location=LOCATION

Reemplaza lo siguiente:

  • TAGVALUE_NAME: El ID permanente o el nombre de espacio de nombres del valor de la etiqueta que se conecta; por ejemplo, tagValues/567890123456.
  • RESOURCE_ID: El ID completo del recurso, incluido el nombre de dominio de la API, que identifica el tipo de recurso (//datafusion.googleapis.com/). Por ejemplo, para adjuntar una etiqueta a una instancia en projects/7890123456 ubicada en us-central1, usa el siguiente ID de recurso: //datafusion.googleapis.com/projects/7890123456/locations/us-central1/instances/instance-ID.
  • LOCATION: La ubicación de tu recurso. Por ejemplo, us-central1.

Una notificación confirma que se crearon tus etiquetas.

Esta acción no provoca el reinicio de la instancia.

Enumera las etiquetas adjuntas a una instancia

Puedes ver una lista de vinculaciones de etiquetas adjuntas o heredadas por la instancia de Cloud Data Fusion directamente.

gcloud

Para obtener una lista de vinculaciones de etiquetas adjuntas a una instancia, usa el comando list:

gcloud resource-manager tags bindings list \
  --parent=RESOURCE_ID \
  --location=LOCATION

Reemplaza lo siguiente:

  • RESOURCE_ID: El ID completo del recurso, incluido el nombre de dominio de la API, que identifica el tipo de recurso (//datafusion.googleapis.com/). Por ejemplo, para enumerar etiquetas en una instancia en projects/7890123456 ubicada en us-central1, usa el siguiente ID de recurso: //datafusion.googleapis.com/projects/7890123456/locations/us-central1/instances/instance-ID.
  • LOCATION: La ubicación de tu recurso. Por ejemplo, us-central1.

La respuesta tiene el siguiente formato:

tagBindings/%2F%2Fcloudresourcemanager.googleapis.com%2Fprojects%2F7890123456/tagValues/567890123456
  tagValue: tagValues/567890123456
  resource: //datafusion.googleapis.com/projects/7890123456/locations/us-central1/instances/instance-ID

Desconecta etiquetas de una instancia

Puedes desconectar las etiquetas que se adjuntaron directamente a una instancia de Cloud Data Fusion. Las etiquetas heredadas se pueden anular si se adjunta una etiqueta con la misma clave y un valor diferente, pero no se pueden desconectar. Antes de borrar una etiqueta, debes desconectar su clave y sus valores de cada instancia a la que está adjunta.

gcloud

Para borrar una vinculación de etiqueta, usa el comando delete:

gcloud resource-manager tags bindings delete \
  --tag-value=TAGVALUE_NAME \
  --parent=RESOURCE_ID \
  --location=LOCATION

Reemplaza lo siguiente:

  • TAGVALUE_NAME: El ID permanente o el nombre de espacio de nombres del valor de la etiqueta que se conecta; por ejemplo, tagValues/567890123456.
  • RESOURCE_ID: El ID completo del recurso, incluido el nombre de dominio de la API, que identifica el tipo de recurso (//datafusion.googleapis.com/). Por ejemplo, para adjuntar una etiqueta a una instancia en projects/7890123456 ubicada en us-central1, usa el siguiente ID de recurso: //datafusion.googleapis.com/projects/7890123456/locations/us-central1/instances/instance-ID.
  • LOCATION: La ubicación de tu recurso. Por ejemplo, us-central1.

Una notificación confirma que se actualizaron tus etiquetas.

Borra claves y valores de etiqueta

Cuando quites una clave o una definición de valor de etiqueta, asegúrate de que la etiqueta esté desconectada de la instancia. Debes borrar los adjuntos de etiqueta existentes, llamados vinculaciones de etiquetas, antes de borrar la definición de la etiqueta en sí. Para borrar claves y valores de etiqueta, consulta Borra etiquetas.

Etiquetas y condiciones de Identity and Access Management

Puedes usar etiquetas y condiciones de IAM para otorgar de forma condicional vinculaciones de roles a los usuarios en tu jerarquía. Cambiar o borrar la etiqueta adjunta a una instancia puede quitar el acceso del usuario a esa instancia si se aplicó una política de IAM con vinculaciones de roles condicionales. Para obtener más información, consulta Etiquetas y condiciones de Identity and Access Management.

¿Qué sigue?