このドキュメントでは、セキュアタグを作成して Dataproc クラスタに接続し、タグを使用してクラスタ ネットワーキングを保護する方法について説明します。
セキュアタグを使用するメリット
セキュアタグには、Identity and Access Management アクセス制御、タグの継承、単一の VPC ネットワーク バインディングなど、ネットワーク タグとは主な違いがあります。これにより、次の主なメリットがもたらされます。
IAM ポリシーでセキュアタグを使用すると、条件付きアクセス制御が有効になり、タグの有無に基づいてロールを付与または拒否することでセキュリティが強化されます。
VPC ファイアウォール ルールとは異なり、セキュアタグによって強化されたネットワーク ファイアウォール ポリシーでは、複数のルールを効率的にグループ化して同時に更新できます。これらのルールはすべて IAM アクセス制御によって管理されます。ネットワーク タグを使用する VPC ファイアウォール ルールと比較して、セキュアタグはネットワーク ファイアウォール ポリシー内のセキュリティと管理機能を強化します。
Resource Manager タグとネットワーク タグの違いについては、タグとネットワーク タグの比較をご覧ください。
Resource Manager タグとラベルの違いについては、タグとラベルをご覧ください。
制限事項
- セキュアタグをクラスタに適用できるのは、クラスタの作成時のみです。
- セキュアタグの更新と削除はサポートされていません。
必要なロール
セキュアタグを作成して Dataproc クラスタに接続するために必要な権限を取得するには、Resource Manager タグに対する次の IAM ロールを管理者に付与するよう依頼します。
ロールの付与については、プロジェクト、フォルダ、組織に対するアクセス権の管理をご覧ください。
必要な権限は、カスタムロールや他の事前定義ロールから取得することもできます。
セキュアタグを作成する
セキュアタグを Dataproc クラスタに適用するには、まず、指定されたキーと 1 つ以上の値を使用して Resource Manager タグを作成する必要があります。
Dataproc クラスタにセキュアタグを適用する
セキュアタグ TAG_KEY:TAG_VALUE ペアを指定して Dataproc クラスタを作成します。
Google Cloud CLI
Dataproc クラスタを作成してクラスタにセキュアタグを追加するには、--resource-manager-tags フラグを指定して gcloud Dataproc clusters create コマンドを実行します。
gcloud dataproc clusters create CLUSTER_NAME \
--region REGION \
--resource-manager-tags=TAG_KEY=TAG_VALUE
次のように置き換えます。
CLUSTER_NAME: 新しいクラスタの名前。
REGION: クラスタを配置する Compute Engine のリージョン。
TAG_KEY と TAG_VALUE: 作成した Resource Manager タグのキーと値。カンマ区切りのリストを指定して、同じキーで異なる値、または異なるキーと値で構成される複数のセキュアタグを適用できます。
REST
Dataproc クラスタを作成してクラスタにセキュアタグを追加するには、clusters.create リクエストの一部として resourceManagerTags フィールドを含めます。
"TAG_KEY":"TAG_VALUE" セキュアタグをクラスタに接続する cluster.create リクエストの JSON 本文の例を次に示します。
{
"clusterName": "CLUSTER_NAME",
"config": {
"gceClusterConfig": {
"resourceManagerTags": {
"TAG_KEY": "TAG_VALUE"
}
}
}
}
次のように置き換えます。
PROJECT_ID: Google Cloud コンソールのダッシュボードの [プロジェクト情報] セクションに表示されるプロジェクト ID。
CLUSTER_NAME: 新しいクラスタの名前。
TAG_KEY と TAG_VALUE: 作成した Resource Manager タグのキーと値。同じキーで構成された複数のセキュアタグを、異なる値または異なるキーと値で指定できます。
クラスタ ネットワーキングにセキュアタグを使用する
セキュアタグをクラスタに接続したら、セキュアタグを使用してクラスタ ネットワーキングを構成します。
- セキュアタグを使用してファイアウォール ルールを定義します。
- セキュアタグを使用して、セキュアタグを作成してクラスタに適用するために必要な IAM タグ管理者 TAG 閲覧者のロールを条件付きで付与または拒否します。