ניהול משאבי GKE באמצעות תגים

טייס אוטומטי רגילה

במאמר הזה נסביר איך להשתמש בתגים כדי לנהל את האשכולות שלכם ב-Google Kubernetes Engine ‏(GKE) ולהחיל מדיניות של ניהול זהויות והרשאות גישה (IAM) על צמתים באופן מותנה.

מידע על תגים

תגים הם צמדי מפתח/ערך שמאפשרים להוסיף הערות למשאבים שלכם ב-Google Cloud רמת הארגון או הפרויקט ולנהל אותם. אתם יכולים להשתמש בתגים כדי לארגן את המשאבים ולהחיל באופן מותנה כללי מדיניות כמו חומות אש או כללי מדיניות של IAM. תגיות תומכות בבקרת גישה של IAM, שמאפשרת לכם להגדיר מי יכול לצרף, ליצור, לעדכן או למחוק תגיות.

תרחישים לדוגמה לשימוש בתגים ב-GKE

אפשר להשתמש בתגים ב-GKE במצבים כמו הבאים:

• החלה מותנית של מדיניות חומת אש ברשת על צמתים ספציפיים. לדוגמה, אפשר לחסום תנועת נכנסת מהאינטרנט הציבורי לכל הצמתים באשכול בסביבות פיתוח או בדיקה. הוראות זמינות במאמר בנושא החלה סלקטיבית של מדיניות חומת אש ברשת ב-GKE.
• הקצאת תפקידים ב-IAM על סמך תגים. לדוגמה, אפשר להעניק לקבלנים באופן אוטומטי גישה לסביבות ספציפיות שבדרך כלל זמינות רק לעובדים במשרה מלאה. הוראות מפורטות מופיעות בהמשך המסמך הזה.
• בודקים ומנתחים את פרטי החיוב על סמך התגים שהוחלו ברמת הפרויקט או הארגון.

איך זה עובד

כדי לאכוף מדיניות חומת אש ברשת, יוצרים תג ומציינים במפורש שהתג מיועד לשימוש בחומת האש. לכל שאר המטרות, יוצרים תג בלי להגדיר ייעוד לחומת האש.

אחרי שיוצרים את התג, מצרפים אותו למשאבים ב-GKE כצמד מפתח/ערך. למדיניות חומת אש ברשת משתמשים ב-GKE API, ולכל שאר המטרות משתמשים ב-Tags API.

לכל מפתח אפשר לצרף ערך אחד למשאב. לדוגמה, אם צירפתם את env:dev לאשכול GKE, לא תוכלו לצרף גם את env:prod או את env:test. אפשר לצרף לכל משאב עד 50 תגים שאינם תגים של חומת אש, ועד חמישה תגים של חומת אש.

שיטות להוספת הערות למשאבים ב-GKE

ב-GKE יש כמה שיטות להוספת הערות למשאבים, כמו שמתואר בטבלה הבאה:

סוג הערה	תיאור	דוגמה
תגים (לא חומת אש)	הגשת בקשה למשאב של אשכול באמצעות Tags API ארגון משאבים למעקב אחר השימוש והחיוב החלה מותנית של מדיניות IAM שליטה בגישה לתגים ספציפיים באמצעות IAM זהירות: אפשר גם לצרף תגים ישירות למכונות הווירטואליות ב-Compute Engine שמגבות את צומתי ה-GKE. אנחנו לא ממליצים על השיטה הזו, כי GKE מחליף את תגי מכונות ה-VM האלה אם משתמשים ב-GKE API כדי לצרף תגי חומת אש לאותם צמתים. מידע נוסף זמין במאמר סקירה כללית על תגים.	התניית מתן תפקידים ב-IAM כדי לשלוט בגישה למשאבים עם תגים ספציפיים
תגים (חומת אש)	הגשת בקשה לאשכול או למאגר צמתים באמצעות GKE API החלה מותנית של מדיניות חומת אש בין רשתות ב-Cloud Next Generation Firewall. שליטה בגישה לתגים ספציפיים באמצעות IAM ‫GKE מצרף את צמדי המפתח/ערך למכונות הווירטואליות הבסיסיות של Compute Engine. מידע נוסף זמין במאמר החלה סלקטיבית של מדיניות חומת אש ברשת ב-GKE.	דחייה אוטומטית של תנועת נכנסת מהאינטרנט הציבורי לכל סביבות הבמה או הבדיקה
תגים של רשתות	הגשת בקשה לאשכול או למאגר צמתים באמצעות GKE API מחרוזות פשוטות ללא בקרת גישה ב-IAM משמש להחלת כללים של חומת אש ב-VPC באופן מותנה ‫GKE מצרף את צמדי המפתח/ערך למכונות הווירטואליות הבסיסיות של Compute Engine מידע נוסף זמין במאמר בנושא שימוש בתגי רשת להחלת כללים של חומת אש על צמתים.	דחייה אוטומטית של תנועת נכנסת מהאינטרנט הציבורי לכל סביבות הבמה או הבדיקה
תוויות של אשכולות GKE	הגשת בקשה לאשכול או למאגר צמתים באמצעות GKE API ארגון משאבים למעקב אחר השימוש והחיוב מידע נוסף זמין במאמר בנושא תוויות של אשכולות.	להבדיל בין אשכולות שבבעלות מרכזי עלות או צוותים ספציפיים בארגון.
תוויות Kubernetes	החלת תווית על אובייקטים של Kubernetes API לשייך רכיבים ומשאבים של אשכול זה לזה ולנהל את מחזורי החיים של המשאבים. מידע נוסף זמין במאמר תוויות ובוררים ב-Kubernetes.	הגדרת דרישה לתזמון עומסי עבודה בצמתים עם תוויות ספציפיות.

לפני שמתחילים

לפני שמתחילים, חשוב לוודא שביצעתם את הפעולות הבאות:

• מפעילים את ממשק Google Kubernetes Engine API.
הפעלת Google Kubernetes Engine API
• כדי להשתמש ב-CLI של Google Cloud למשימה הזו, צריך להתקין ואז להפעיל את gcloud CLI. אם התקנתם בעבר את ה-CLI של gcloud, מריצים את הפקודה gcloud components update כדי לקבל את הגרסה העדכנית. יכול להיות שגרסאות קודמות של ה-CLI של gcloud לא יתמכו בהרצת הפקודות שמופיעות במסמך הזה.
  הערה: אם כבר התקנתם את ה-CLI של gcloud, הקפידו להגדיר את compute/region המאפיין. אם אתם משתמשים בעיקר באשכולות אזוריים, עליכם להגדיר את compute/zone במקום זאת. אם מגדירים מיקום ברירת מחדל, אפשר להימנע משגיאות ב-CLI של gcloud כמו השגיאה הבאה: One of [--zone, --region] must be supplied: Please specify location. יכול להיות שתצטרכו לציין את המיקום בפקודות מסוימות אם המיקום של האשכול שונה מברירת המחדל שהגדרתם.

• ודאו שיש לכם את תפקידי ה-IAM הבאים:

  • roles/resourcemanager.tagAdmin
  • roles/resourcemanager.tagUser

  מידע על ההרשאות שניתנות על ידי התפקידים האלה מופיע במאמר ההרשאות הנדרשות.

• מוודאים שאשכול GKE פועל.

צירוף תגים לאשכול

אם יש לכם את ההרשאות המתאימות, אתם יכולים לצרף תגים לאשכול קיים באמצעות Google Cloud CLI, ‏ מסוף Google Cloud , ‏ Tags API או Terraform.

gcloud

כדי לצרף תג למשאבי GKE באמצעות gcloud CLI, צריך ליצור את התג ולהגדיר את הערכים שלו. במאמרים יצירת תג והוספת ערכי תגים מוסבר איך יוצרים מפתחות וערכים של תגים.

כדי ליצור קשירת תגים לצירוף תג לאשכול, מריצים את הפקודה הבאה:

gcloud resource-manager tags bindings create \
    --tag-value=TAG_VALUE_ID \
    --parent=RESOURCE_ID \
    --location=CLUSTER_LOCATION

מחליפים את מה שכתוב בשדות הבאים:

• ‫TAG_VALUE_ID: המזהה הקבוע או השם במרחב השמות של ערך התג לצירוף. לדוגמה, tagValues/4567890123. פרטים על מזהי תגים זמינים במאמר בנושא הגדרות ומזהים של תגים.
• ‫CLUSTER_LOCATION: המיקום של Compute Engine. לגבי אשכולות אזוריים, צריך לציין את אזור החישוב.

• ‫RESOURCE_ID: שם המשאב המלא של האשכול, למשל //container.googleapis.com/projects/PROJECT_ID/locations/CLUSTER_LOCATION/clusters/CLUSTER_NAME.

  במזהה המשאב:

  • ‫PROJECT_ID: מזהה הפרויקט ב- Google Cloud .
  • ‫CLUSTER_NAME: השם של האשכול.

המסוף

כדי לצרף תג למשאבי GKE באמצעות מסוףGoogle Cloud , צריך ליצור את התג ולהגדיר את הערכים שלו. במאמרים יצירת תג והוספת ערכי תגים מוסבר איך יוצרים מפתחות וערכים של תגים.

1. נכנסים לדף Google Kubernetes Engine במסוף Google Cloud .

   מעבר אל Google Kubernetes Engine

2. ברשימת האשכולות, לוחצים על שם האשכול שרוצים לשנות.

3. בקטע Metadata (מטא-נתונים), לצד Tags (תגים), לוחצים על Edit tags (עריכת תגים).

4. אם הארגון שלכם לא מופיע בחלונית תגים, לוחצים על בחירת היקף. בוחרים את הארגון ולוחצים על פתיחה.

5. בחלונית Tags (תגים), לוחצים על Add tag (הוספת תג).

6. בוחרים מהרשימה את המקש של התג שרוצים לצרף. אפשר לסנן את הרשימה באמצעות הקלדה של מילות מפתח.

7. בוחרים מהרשימה את הערך של התג שרוצים לצרף. אפשר לסנן את הרשימה על ידי הקלדת מילות מפתח.

8. לוחצים על Save.

9. בתיבת הדו-שיח אישור, לוחצים על אישור כדי לצרף את התג.

   תקבלו התראה שמאשרת שהתגים עודכנו.

API

כדי לצרף תג למשאב, קודם צריך ליצור ייצוג JSON של קישור תג שכולל את המזהים הקבועים של ערך התג והמשאב. בדף העזר בנושא TagBinding תוכלו לקרוא על הפורמטים של קשירת תגים.

משתמשים בשיטה tagBindings.create עם נקודת הקצה האזורית או האזורית שבה נמצא האשכול.

POST https://LOCATION-cloudresourcemanager.googleapis.com/v3/tagBindings

מחליפים את LOCATION באזור או בתחום שבו נמצא האשכול.

גוף בקשת JSON:

{
  "parent": "RESOURCE_ID",
  "tagValue": "TAG_VALUE_ID"
}

מחליפים את מה שכתוב בשדות הבאים:

• ‫RESOURCE_ID: שם המשאב המלא של האשכול, למשל //container.googleapis.com/projects/PROJECT_ID/locations/CLUSTER_LOCATION/clusters/CLUSTER_NAME.

  במזהה המשאב:

  • ‫PROJECT_ID: מזהה הפרויקט ב- Google Cloud .
  • ‫CLUSTER_NAME: השם של האשכול.

• ‫TAG_VALUE_ID: המזהה הקבוע או השם במרחב השמות של ערך התג לצירוף. לדוגמה, tagValues/4567890123. פרטים על מזהי תגים זמינים במאמר בנושא הגדרות ומזהים של תגים.

הפלט אמור להיראות כך:

{
  "done": true,
  "response": {
    "@type": "type.googleapis.com/google.cloud.resourcemanager.v3.TagBinding",
    "name": "tagBindings///container.googleapis.com/projects/PROJECT_ID/locations/LOCATION/clusters/CLUSTER_NAME/tagValues/TAG_VALUE_ID",
    "parent": "//container.googleapis.com/projects/PROJECT_ID/locations/LOCATION/clusters/CLUSTER_NAME",
    "tagValue": "TAG_VALUE_ID"
  }
}

Terraform

כדי ליצור תג, להגדיר את הערכים שלו ולצרף תג למשאב באמצעות Terraform, אפשר לעיין בדוגמה הבאה:

resource "google_container_cluster" "default" {
  name     = "gke-autopilot-tag"
  location = "us-central1"

  enable_autopilot = true
}

data "google_project" "default" {}

resource "google_tags_tag_key" "default" {
  parent      = "projects/${data.google_project.default.project_id}"
  short_name  = "env"
  description = "Environment tag key"
}

resource "google_tags_tag_value" "default" {
  parent      = "tagKeys/${google_tags_tag_key.default.name}"
  short_name  = "dev"
  description = "Development environment tag value."
}

resource "google_tags_location_tag_binding" "default" {
  parent    = "//container.googleapis.com/${google_container_cluster.default.id}"
  location  = google_container_cluster.default.location
  tag_value = "tagValues/${google_tags_tag_value.default.name}"
}

מידע נוסף על שימוש ב-Terraform זמין במאמר תמיכה ב-Terraform ב-GKE.

הצגת רשימת התגים שמצורפים לאשכול

אפשר להציג את רשימת התגים שמצורפים לאשכול באמצעות gcloud CLI,‏ Google Cloud המסוף או Tags API.

gcloud

כדי לקבל רשימה של קישורי תגים שמצורפים לאשכול, מריצים את הפקודה הבאה:

gcloud resource-manager tags bindings list \
    --parent=RESOURCE_ID \
    --location=CLUSTER_LOCATION

מחליפים את מה שכתוב בשדות הבאים:

• ‫CLUSTER_LOCATION: באשכולות אזוריים, מציינים את אזור המחשוב. במקרה של אשכולות אזוריים, מציינים את אזור החישוב.

• ‫RESOURCE_ID: שם המשאב המלא של האשכול, למשל //container.googleapis.com/projects/PROJECT_ID/locations/CLUSTER_LOCATION/clusters/CLUSTER_NAME.

  במזהה המשאב:

  • ‫PROJECT_ID: מזהה הפרויקט ב- Google Cloud .

  • ‫CLUSTER_NAME: השם של האשכול.

המסוף

1. נכנסים לדף Google Kubernetes Engine במסוף Google Cloud .

   עוברים אל Google Kubernetes Engine

2. ברשימת האשכולות, לוחצים על שם האשכול שרוצים לראות.

3. בקטע Metadata (מטא נתונים), לצד Tags (תגים), מחפשים את ערכי התגים המצורפים.

API

כדי לקבל רשימה של התאמות תגים לאשכול, משתמשים בשיטה tagBindings.list עם נקודת הקצה האזורית או האזורית שבה האשכול ממוקם.

GET https://LOCATION-cloudresourcemanager.googleapis.com/v3/tagBindings

גוף בקשת JSON:

{
  "parent": RESOURCE_ID,
}

מחליפים את מה שכתוב בשדות הבאים:

• ‫RESOURCE_ID: שם המשאב המלא של האשכול, למשל //container.googleapis.com/projects/PROJECT_ID/locations/CLUSTER_LOCATION/clusters/CLUSTER_NAME.

  במזהה המשאב:

  • ‫PROJECT_ID: מזהה הפרויקט ב- Google Cloud .
  • ‫CLUSTER_NAME: השם של האשכול.

הפלט אמור להיראות כך:

"tagBindings": [
  {
    "name": "tagBindings/%2F%2Fcontainer.googleapis.com%2Fprojects%2Ftags-bugbash-project%2Flocations%2LOCATION%2Fclusters%2Ftestcluster/tagValues/758072120217",
    "parent": "//container.googleapis.com/projects/PROJECT_ID/locations/LOCATION/clusters/CLUSTER_NAME",
    "tagValue": "TAG_VALUE_ID"
  }
]

ניתוק תגים מאשכול

כדי לבטל את הקישור של תג לאשכול, צריך למחוק את משאב הקישור של התג שמצורף לאשכול באמצעות gcloud CLI, ‏Google Cloud המסוף או Tags API. אם אתם צריכים למחוק תג, קודם צריך לבטל את הצירוף שלו מכל המשאבים שהוא מצורף אליהם.

gcloud

כדי לנתק את הקישור של תג שמצורף לאשכול, מריצים את הפקודה הבאה:

gcloud resource-manager tags bindings delete \
    --tag-value=TAG_VALUE_ID \
    --parent=RESOURCE_ID \
    --location=CLUSTER_LOCATION

מחליפים את מה שכתוב בשדות הבאים:

• ‫TAG_VALUE_ID: המזהה הקבוע או השם ממרחב השמות של ערך התג לניתוק. לדוגמה, tagValues/4567890123. פרטים על מזהי תגים זמינים במאמר הגדרות ומזהים של תגים.

• ‫CLUSTER_LOCATION: באשכולות אזוריים, מציינים את אזור המחשוב. לגבי אשכולות אזוריים, מציינים את אזור החישוב.

• ‫RESOURCE_ID: שם המשאב המלא של האשכול, למשל //container.googleapis.com/projects/PROJECT_ID/locations/CLUSTER_LOCATION/clusters/CLUSTER_NAME.

  במזהה המשאב:

  • ‫PROJECT_ID: מזהה הפרויקט ב- Google Cloud .

  • ‫CLUSTER_NAME: השם של האשכול.

המסוף

1. נכנסים לדף Google Kubernetes Engine במסוף Google Cloud .

   מעבר אל Google Kubernetes Engine

2. ברשימת האשכולות, לוחצים על שם האשכול שרוצים לשנות.

3. בקטע Metadata (מטא-נתונים), לצד Tags (תגים), לוחצים על Edit tags (עריכת תגים).

4. בחלונית תגים, לצד התג שרוצים לבטל את הקישור שלו, לוחצים על מחיקת הפריט.

5. לוחצים על Save.

6. בתיבת הדו-שיח אישור, לוחצים על אישור כדי לבטל את הצירוף של התג.

   תקבלו התראה שמאשרת שהתגים עודכנו.

API

כדי למחוק קשרי תגים באשכול, משתמשים בשיטה tagBindings.delete עם נקודת הקצה האזורית או האזורית שבה האשכול ממוקם.

DELETE https://LOCATION-cloudresourcemanager.googleapis.com/v3/TAG_BINDING_NAME

מחליפים את TAG_BINDING_NAME בשם המשאב המלא של האובייקט tagBinding שרוצים לנתק. לדוגמה, tagBindings/container.googleapis.com/projects/PROJECT_ID/locations/LOCATION/tagValues/TAG_VALUE_ID.

מחיקת מפתחות תגים וערכי תגים

לפני שמוחקים מפתחות וערכים של תגים, צריך לוודא שהתגים לא מוצמדים למשאבים. אחר כך, קוראים את המאמר בנושא מחיקת תגים כדי למחוק את המפתחות והערכים.

תנאים ותגים בניהול זהויות והרשאות גישה (IAM)

אתם יכולים להשתמש בתגים ובתנאים של IAM כדי להעניק קישורי תפקידים למשתמשים בהיררכיית הפרויקט באופן מותנה. כשמשנים או מוחקים את התג שמצורף לאשכול, GKE יכול להסיר את גישת המשתמש לאשכול הזה אם הוחלה מדיניות הרשאה של IAM עם קישורי תפקידים מותנים. אפשר להשתמש במדיניות דחייה של IAM עם תגים כדי להשיג יעדים כמו הגנה על אשכולות קריטיים מפני מחיקה.

ההרשאה להציג רשימה של אשכולות GKE וליצור אותם נבדקת ברמת הפרויקט, ולא ברמת האשכול. אם אתם משתמשים בקשירת תפקידי IAM מותנית עם תגים ברמת האשכול כדי להגביל את הגישה לאשכולות ספציפיים, יכול להיות שהמשתמשים האלה ייתקלו בשגיאות כשהם ינסו לרשום או ליצור אשכולות בפרויקט. כדי להימנע מהשגיאות האלה, צריך לצרף תג לפרויקט האב ולהשתמש בקשירת תפקיד מותנית כדי להעניק גישה לרשימה או ליצור אותה. במאמר חומר עזר בנושא תפקידים ב-IAM מוסבר על תפקידים והרשאות.

המאמרים הבאים

• איך מגדירים מדיניות ארגונית באמצעות תגים
• איך מנהלים את התגים ומצרפים אותם למשאבים
• כאן מפורטים שירותים אחרים שתומכים בתגים.
• איך משתמשים בתגים עם IAM