Crea y administra etiquetas para roles personalizados

En esta guía, se describe cómo crear y administrar etiquetas para roles personalizados.

Acerca de las etiquetas de política

Una etiqueta es un par clave-valor que se puede adjuntar a un recurso dentro de Google Cloud. Puedes usar etiquetas para permitir o denegar políticas de forma condicional en función de si un recurso tiene una etiqueta específica. Por ejemplo, puedes otorgar de forma condicional roles de Identity and Access Management (IAM) en función de si un recurso tiene una etiqueta específica. Para obtener más información sobre las etiquetas, consulta Descripción general de las etiquetas.

Las etiquetas se conectan a los recursos con la creación de un recurso de vinculación de etiqueta que vincula el valor al Google Cloud recurso.

Permisos necesarios

Para obtener los permisos que necesitas para administrar etiquetas, pídele a tu administrador que te otorgue los siguientes roles de IAM:

  • Visualizador de etiquetas (roles/resourcemanager.tagViewer) en los recursos a los que se adjuntan las etiquetas
  • Visualiza y administra etiquetas a nivel de la organización: Visualizador de la organización (roles/resourcemanager.organizationViewer) en la organización
  • Crea, actualiza y borra definiciones de etiquetas: Administrador de etiquetas (roles/resourcemanager.tagAdmin) en el recurso para el que creas, actualizas o borras etiquetas
  • Adjunta y quita etiquetas de los recursos: Usuario de etiquetas (roles/resourcemanager.tagUser) en el valor de etiqueta y los recursos a los que adjuntas o quitas el valor de etiqueta

Para obtener más información sobre cómo otorgar roles, consulta Administra el acceso a proyectos, carpetas y organizaciones.

También puedes obtener los permisos necesarios mediante roles personalizados o cualquier otro rol predefinido.

Para obtener los permisos que necesitas para adjuntar etiquetas a roles personalizados, pídele a tu administrador que te otorgue el rol de IAM Administrador de roles (roles/iam.roleAdmin) en el proyecto o la organización donde se encuentran los roles. Para obtener más información sobre cómo otorgar roles, consulta Administra el acceso a proyectos, carpetas y organizaciones.

También puedes obtener los permisos necesarios mediante roles personalizados o cualquier otro rol predefinido.

Crea claves y valores de etiqueta

Antes de poder adjuntar una etiqueta, debes crear una y configurar su valor. Para crear claves y valores de etiqueta, consulta Crea una etiqueta y Agrega un valor a una etiqueta.

Agrega etiquetas a recursos existentes

Para agregar una etiqueta a roles personalizados existentes, sigue estos pasos:

gcloud

Para adjuntar una etiqueta a un rol personalizado, debes crear un recurso de vinculación de etiqueta con el gcloud resource-manager tags bindings create comando:

      gcloud resource-manager tags bindings create \
          --tag-value=TAGVALUE_NAME \
          --parent=RESOURCE_ID

Reemplaza lo siguiente:

  • TAGVALUE_NAME: el ID permanente o el nombre de espacio de nombres del valor de la etiqueta que adjuntas a un recurso; por ejemplo, tagValues/567890123456.
  • RESOURCE_ID: el nombre completo del rol, incluido el prefijo projects o organizations y el nombre de dominio de la API (//iam.googleapis.com/). Por ejemplo, el ID de recurso de un rol personalizado a nivel del proyecto example-role en el proyecto example-project es //iam.googleapis.com/projects/example-project/roles/example-role.

Enumera las etiquetas adjuntas a los recursos

Puedes ver directamente una lista de vinculaciones de etiquetas adjuntas al rol personalizado o heredadas por dicho rol.

gcloud

Para obtener una lista de vinculaciones de etiquetas adjuntas a un recurso, usa el comando gcloud resource-manager tags bindings list:

      gcloud resource-manager tags bindings list \
          --parent=RESOURCE_ID

Reemplaza lo siguiente:

  • RESOURCE_ID: el nombre completo del rol, incluido el prefijo projects o organizations y el nombre de dominio de la API (//iam.googleapis.com/). Por ejemplo, el ID de recurso de un rol personalizado a nivel del proyecto example-role en el proyecto example-project es //iam.googleapis.com/projects/example-project/roles/example-role.

Deberías recibir una respuesta similar a la que figura a continuación:

name: tagBindings/%2F%2Fcloudresourcemanager.googleapis.com%2Fprojects%2F7890123456/tagValues/567890123456
          tagValue: tagValues/567890123456
          resource: //iam.googleapis.com/projects/example-project/roles/example-role

Desconecta etiquetas de los recursos

Puedes desconectar las etiquetas que se conectaron directamente a un rol personalizado. Las etiquetas heredadas se pueden anular conectando una etiqueta con la misma clave y un valor diferente, pero no se pueden desconectar.

gcloud

Para borrar una vinculación de etiqueta, usa el comando gcloud resource-manager tags bindings delete:

      gcloud resource-manager tags bindings delete \
          --tag-value=TAGVALUE_NAME \
          --parent=RESOURCE_ID

Reemplaza lo siguiente:

  • TAGVALUE_NAME: el ID permanente o el nombre de espacio de nombres del valor de la etiqueta que se conecta; por ejemplo, tagValues/567890123456.
  • RESOURCE_ID: el nombre completo del rol, incluido el prefijo projects o organizations y el nombre de dominio de la API (//iam.googleapis.com/). Por ejemplo, el ID de recurso de un rol personalizado a nivel del proyecto example-role en el proyecto example-project es //iam.googleapis.com/projects/example-project/roles/example-role.

Borra claves y valores de etiqueta

Cuando quites una clave o una definición de valor de etiqueta, asegúrate de que la etiqueta esté desconectada del rol personalizado. Debes borrar los adjuntos de etiqueta existentes, llamados vinculaciones de etiquetas, antes de borrar la definición de la etiqueta en sí. Para borrar claves y valores de etiqueta, consulta Borra etiquetas.

Etiquetas y condiciones de Identity and Access Management

Puedes usar etiquetas y condiciones de IAM para otorgar de forma condicional vinculaciones de roles a los usuarios en la jerarquía de tu proyecto. Cambiar o borrar la etiqueta adjunta a un recurso puede quitar el acceso del usuario a ese recurso si se aplicó una política de IAM con vinculaciones de funciones condicionales. Para obtener más información, consulta Etiquetas y condiciones de Identity and Access Management.

¿Qué sigue?