שימוש בתגים מאובטחים

במאמר הזה מוסבר איך ליצור תגים מאובטחים, לצרף אותם לאשכול Dataproc ואז להשתמש בתגים כדי לאבטח את הרשת של האשכול.

היתרונות של שימוש בתגים מאובטחים

לתגים מאובטחים יש הבדלים משמעותיים מתגי רשת, כולל בקרת גישה לניהול זהויות והרשאות גישה, ירושת תגים וקישור לרשת VPC אחת, שמניבים את היתרונות העיקריים הבאים:

אבטחה ובקרת גישה משופרות

תגים מאובטחים פותרים את בעיות האבטחה שקיימות בתגי רשת, ומספקים גישה מבוקרת של IAM. בניגוד לתגי רשת שאפשר לשנות אותם אם יש למשתמש גישה לאשכול, תגים מאובטחים מונעים שינוי לא מורשה של תגים ושינויים לא רצויים בכללי חומת האש.

שימוש בתגים מאובטחים בכללי מדיניות של IAM מאפשר בקרת גישה מותנית, ומחזק את האבטחה על ידי מתן או דחייה של תפקידים בהתאם לנוכחות של תגים.

ניהול פשוט יותר של חומת האש

מדיניות חומת האש בין רשתות הגלובלית והאזורית תומכת בתגים מאובטחים. התמיכה הזו מפשטת את ניהול חומות האש ב-Dataproc ברשתות משותפות.

בניגוד לכללי חומת אש של VPC, כללי מדיניות של חומת אש בין רשתות שמשופרים באמצעות תגי אבטחה מאפשרים קיבוץ יעיל ועדכון בו-זמני של כמה כללים, והכול כפוף לאמצעי בקרה לגישה של IAM. בהשוואה לכללי חומת אש של VPC שמבוססים על תגי רשת, תגים מאובטחים מספקים יכולות אבטחה וניהול משופרות במסגרת מדיניות חומת האש של הרשת.

ירושה היררכית של משאבים לניהול יעיל

תגים מאובטחים עוברים בירושה ממשאבי הורה בהיררכיה. Google Cloud הירושה הזו מפשטת את הניהול, כי היא מאפשרת להגדיר תגים ברמה גבוהה יותר – למשל, ברמת הארגון – כך שהם יועברו אוטומטית למשאבי צאצאים, כמו תיקיות ופרויקטים. כך אפשר לתייג באופן עקבי בכל הארגון. מידע נוסף מופיע במאמר בנושא העברת תגים.

שיפור ניהול הרשתות ב-VPC משותף וב-VPC שמקושר לרשתות שכנות (peering)

תגי רשת מזהים מקורות או יעדים בכללי חומת אש ברשת VPC ספציפית. תגי אבטחה, כשמשתמשים בהם כדי לציין מקור לכלל תעבורת נתונים נכנסת (ingress) במדיניות חומת אש בין רשתות, מזהים מקורות תנועה גם ברשת ה-VPC של אשכול Dataproc וגם ברשתות VPC שמקושרות לרשתות שכנות (peering). כשמשתמשים בתגים מאובטחים כדי לציין יעדים לכללי תעבורת נתונים נכנסת (ingress) או תעבורת נתונים יוצאת (egress), התגים מזהים יעדים רק ברשת ה-VPC שלהם.

למידע נוסף על ההבדלים בין תגי מנהל המשאבים לתגים של רשתות, ראו השוואה בין תגי Resource Manager לתגים של רשתות.

מידע נוסף על ההבדלים בין תגי מנהל המשאבים לבין תוויות

לפני שמתחילים

כדי להריץ את הדוגמאות בדף הזה, צריך תפקידים מסוימים ב-IAM. יכול להיות שההרשאות האלה כבר הוענקו לתפקידים, בהתאם למדיניות הארגון. כדי לבדוק את הקצאות התפקידים, ראו האם צריך להקצות תפקידים?.

מידע נוסף על הקצאת תפקידים מופיע במאמר ניהול הגישה לפרויקטים, לתיקיות ולארגונים.

תפקיד משתמש

כדי לקבל את ההרשאות שנדרשות ליצירת תגים, צריך לבקש מהאדמין להקצות לכם ב-IAM את התפקיד אדמין לניהול תגים (roles/resourcemanager.tagAdmin) בתגים של מנהל המשאבים. להסבר על מתן תפקידים, קראו איך מנהלים את הגישה ברמת הפרויקט, התיקייה והארגון.

יכול להיות שאפשר לקבל את ההרשאות הנדרשות גם באמצעות תפקידים בהתאמה אישית או תפקידים מוגדרים מראש.

תפקיד בחשבון שירות

כדי לוודא שלחשבון השירות של סוכן Dataproc יש את ההרשאות שנדרשות לצירוף תגים מאובטחים לאשכול Dataproc, צריך לבקש מהאדמין להקצות לחשבון השירות של סוכן Dataproc בפרויקט את תפקיד ה-IAM Dataproc Service Agent (roles/dataproc.serviceAgent).

מגבלות

אפשר לצרף תגים מאובטחים לאשכול רק בזמן יצירת האשכול.
אין תמיכה בעדכון ובמחיקה של תגים מאובטחים.

יצירת תג מאובטח

כדי לצרף תג מאובטח לאשכול Dataproc, קודם צריך ליצור תג מנהל המשאבים עם מפתח מוגדר וערך אחד או יותר.

צירוף תגים מאובטחים לאשכול Dataproc

יוצרים אשכול Dataproc ומציינים את צמד התגים המאובטח TAG_KEY:TAG_VALUE.

Google Cloud CLI

כדי ליצור אשכול Dataproc ולהוסיף לו תג מאובטח, מריצים את הפקודה gcloud Dataproc clusters create עם הדגל --resource-manager-tags.

gcloud dataproc clusters create CLUSTER_NAME \
  --region REGION \
  --resource-manager-tags=TAG_KEY=TAG_VALUE

מחליפים את מה שכתוב בשדות הבאים:

‫CLUSTER_NAME: השם של האשכול החדש.
‫REGION: האזור ב-Compute Engine שבו נמצא האשכול.
‫TAG_KEY ו-TAG_VALUE: המפתח והערך של התג של מנהל המשאבים שיצרתם. אפשר לציין מפתחות תגים בפורמט עם מרחב שמות או בפורמט ללא מרחב שמות, באופן הבא:
- פורמט מרחב השמות: PROJECT-ID/KEY_NAME=PROJECT-ID/KEY_NAME/KEY_VALUE.
  דוגמה:
```
--resource-manager-tags="test-project/testkey"=test-project/testkey/testvalue
```
- פורמט ללא מרחב שמות: tagKeys/TAG_KEY_ID=tagValues/TAG_VALUE_ID
  דוגמה:
```
--resource-manager-tags=tagKeys/123456789012=tagValues/987654321098
```
  - אפשר לציין רשימה מופרדת בפסיקים כדי לצרף כמה תגי מאובטח שכוללים את אותו מפתח עם ערכים שונים, או מפתחות וערכים שונים.
  - צריך לספק את כל צמדי המפתח/ערך של התגים בפורמט עם מרחב שמות או בפורמט ללא מרחב שמות. אם משתמשים בשני הפורמטים, נוצרת שגיאה.

REST

כדי ליצור אשכול Dataproc ולהוסיף לו תג מאובטח, צריך לכלול את השדה resourceManagerTags כחלק מבקשת clusters.create שכוללת צירוף של תג מאובטח "TAG_KEY":"TAG_VALUE" לאשכול.

{
  "clusterName": "CLUSTER_NAME",
  "config": {
    "gceClusterConfig": {
      "resourceManagerTags": {
        "TAG_KEY":"TAG_VALUE"
      }
    }
  }
}

מחליפים את מה שכתוב בשדות הבאים:

‫CLUSTER_NAME: השם של האשכול החדש.
‫TAG_KEY ו-TAG_VALUE: המפתח והערך של התג של מנהל המשאבים שיצרתם. אפשר לציין מפתחות תגים בפורמט עם מרחב שמות או בפורמט ללא מרחב שמות, באופן הבא:
- פורמט מרחב השמות: PROJECT-ID/KEY_NAME:PROJECT-ID/KEY_NAME/KEY_VALUE.
  דוגמה:
```
"test-project/testkey":"test-project/testkey/testvalue"
```
- פורמט ללא מרחב שמות: tagKeys/TAG_KEY_ID:tagValues/TAG_VALUE_ID
  דוגמה:
```
"tagKeys/123456789012":"tagValues/987654321098"
```
  - אפשר לציין רשימה מופרדת בפסיקים כדי לצרף כמה תגי מאובטח שכוללים את אותו מפתח עם ערכים שונים, או מפתחות וערכים שונים.
  - צריך לספק את כל צמדי המפתח:ערך של התגים בפורמט עם מרחב שמות או בפורמט ללא מרחב שמות. אם משתמשים בשני הפורמטים, נוצרת שגיאה.