"Managed Service for Apache Spark" is the new name for the product formerly known as "Dataproc on Compute Engine" (cluster deployment) and "Google Cloud Serverless for Apache Spark" (serverless deployment).

Google utiliza tecnología de IA para traducir contenido a tu idioma preferido. Las traducciones realizadas con IA pueden contener errores.

Usa etiquetas seguras

En este documento, se describe cómo crear etiquetas seguras, adjuntarlas a un clúster de Managed Service para Apache Spark y, luego, usarlas para proteger las redes del clúster.

Beneficios de usar etiquetas seguras

Las etiquetas seguras tienen diferencias clave con las etiquetas de red, como el control de acceso de Identity and Access Management, la herencia de etiquetas y la vinculación a una sola red de VPC, lo que produce los siguientes beneficios clave:

Seguridad y control de acceso mejorados

Las etiquetas seguras resuelven los problemas de seguridad inherentes a las etiquetas de red, ya que proporcionan acceso controlado por IAM. A diferencia de las etiquetas de red, que puede modificar un usuario con acceso al clúster, las etiquetas seguras impiden la modificación no autorizada de las etiquetas y los cambios no deseados resultantes en las reglas de firewall.

El uso de etiquetas seguras en las políticas de IAM permite el control de acceso condicional, lo que fortalece la seguridad, ya que otorga o deniega roles según la presencia de etiquetas.

Administración simplificada del firewall

Las políticas de firewall de red globales y regionales admiten etiquetas seguras. Esta compatibilidad simplifica la administración del firewall en Managed Service para Apache Spark en redes compartidas.

A diferencia de las reglas de firewall de VPC, las políticas de firewall de red mejoradas con etiquetas seguras permiten agrupar y actualizar varias reglas de forma eficiente y simultánea, todo ello regido por los controles de acceso de IAM. En comparación con las reglas de firewall de VPC que utilizan etiquetas de red, las etiquetas seguras proporcionan capacidades mejoradas de seguridad y administración dentro de las políticas de firewall de red.

Herencia jerárquica de recursos para una administración eficiente

Las etiquetas seguras se heredan de los recursos superiores dentro de la jerarquía Google Cloud . Esta herencia simplifica la administración, ya que te permite definir etiquetas en un nivel superior (por ejemplo, a nivel de la organización) para que se propaguen automáticamente a los recursos secundarios, como las carpetas y los proyectos. Esto permite un etiquetado coherente en toda tu organización. Para obtener más información, consulta Herencia de etiquetas.

Administración de redes mejorada en las VPC compartidas y con intercambio de tráfico

Las etiquetas de red identifican orígenes o destinos en las reglas de firewall dentro de una red de VPC especificada. Cuando se usan para especificar un origen para una regla de entrada en una política de firewall de red, las etiquetas seguras identifican las fuentes de tráfico en la red de VPC del clúster de Managed Service para Apache Spark y en las redes de VPC de intercambio de tráfico. Cuando se usan etiquetas seguras para especificar objetivos para reglas de entrada o salida, identifican objetivos solo dentro de su propia red de VPC.

Para obtener más información sobre las diferencias entre las etiquetas de Resource Manager y las etiquetas de red, consulta Comparación de etiquetas y etiquetas de red.

Para obtener más información sobre las diferencias entre las etiquetas de Resource Manager y las etiquetas de instancia, consulta Etiquetas de instancia y etiquetas de recurso.

Antes de comenzar

Se requieren ciertos roles de IAM para ejecutar los ejemplos de esta página. Según las políticas de la organización, es posible que estos roles ya se hayan otorgado. Para verificar las asignaciones de roles, consulta ¿Necesitas otorgar roles?.

Para obtener más información sobre cómo otorgar roles, consulta Administra el acceso a proyectos, carpetas y organizaciones.

Función del usuario

Para obtener los permisos que necesitas para crear etiquetas, pídele a tu administrador que te otorgue el rol de IAM Administrador de etiquetas (roles/resourcemanager.tagAdmin) en las etiquetas de Resource Manager. Para obtener más información sobre cómo otorgar roles, consulta Administra el acceso a proyectos, carpetas y organizaciones.

También puedes obtener los permisos necesarios a través de roles personalizados o cualquier otro rol predefinido.

Función de cuenta de servicio

Para garantizar que la cuenta de servicio del agente de Managed Service para Apache Spark tenga los permisos necesarios para adjuntar etiquetas seguras a un clúster de Managed Service para Apache Spark, pídele a tu administrador que otorgue el rol de IAM de agente de Managed Service para Apache Spark (roles/dataproc.serviceAgent) a la cuenta de servicio del agente de Managed Service para Apache Spark en el proyecto.

Limitaciones

Solo puedes adjuntar etiquetas seguras a un clúster en el momento de la creación.
No se admite la actualización ni el borrado de etiquetas seguras.

Crea una etiqueta segura

Para adjuntar una etiqueta segura a un clúster de Managed Service para Apache Spark, primero debes crear una etiqueta de Resource Manager con una clave especificada y uno o más valores.

Cómo adjuntar etiquetas seguras al clúster de Managed Service para Apache Spark

Crea un clúster de Managed Service para Apache Spark y especifica el par de etiquetas seguras TAG_KEY:TAG_VALUE.

Google Cloud CLI

Para crear un clúster de Managed Service para Apache Spark y agregarle una etiqueta segura, ejecuta el comando gcloud Managed Service for Apache Spark clusters create con la marca --resource-manager-tags.

gcloud dataproc clusters create CLUSTER_NAME \
  --region REGION \
  --resource-manager-tags=TAG_KEY=TAG_VALUE

Reemplaza lo siguiente:

CLUSTER_NAME es el nombre del clúster nuevo.
REGION: La región de Compute Engine en la que se ubicará el clúster.
TAG_KEY y TAG_VALUE: La clave y un valor de la etiqueta de Resource Manager que creaste. Las claves de etiquetas se pueden especificar en formato con espacio de nombres o sin espacio de nombres, de la siguiente manera:
- Formato del espacio de nombres: PROJECT-ID/KEY_NAME=PROJECT-ID/KEY_NAME/KEY_VALUE.
  Ejemplo:
```
--resource-manager-tags="test-project/testkey"=test-project/testkey/testvalue
```
- Formato sin espacio de nombres: tagKeys/TAG_KEY_ID=tagValues/TAG_VALUE_ID
  Ejemplo:
```
--resource-manager-tags=tagKeys/123456789012=tagValues/987654321098
```
  - Puedes especificar una lista separada por comas para adjuntar varias etiquetas seguras que contengan la misma clave con diferentes valores, o bien diferentes claves y valores.
  - Debes proporcionar todos los pares clave-valor de etiquetas en formato con espacio de nombres o sin espacio de nombres. Si se usan ambos formatos, se generará un error.

REST

Para crear un clúster de Managed Service para Apache Spark y agregarle una etiqueta segura, incluye el campo resourceManagerTags como parte de una solicitud clusters.create que incluya la conexión de una etiqueta segura "TAG_KEY":"TAG_VALUE" al clúster.

{
  "clusterName": "CLUSTER_NAME",
  "config": {
    "gceClusterConfig": {
      "resourceManagerTags": {
        "TAG_KEY":"TAG_VALUE"
      }
    }
  }
}

Reemplaza lo siguiente:

CLUSTER_NAME es el nombre del clúster nuevo.
TAG_KEY y TAG_VALUE: La clave y un valor de la etiqueta de Resource Manager que creaste. Las claves de etiquetas se pueden especificar en formato con espacio de nombres o sin espacio de nombres, de la siguiente manera:
- Formato del espacio de nombres: PROJECT-ID/KEY_NAME:PROJECT-ID/KEY_NAME/KEY_VALUE.
  Ejemplo:
```
"test-project/testkey":"test-project/testkey/testvalue"
```
- Formato sin espacio de nombres: tagKeys/TAG_KEY_ID:tagValues/TAG_VALUE_ID
  Ejemplo:
```
"tagKeys/123456789012":"tagValues/987654321098"
```
  - Puedes especificar una lista separada por comas para adjuntar varias etiquetas seguras que contengan la misma clave con diferentes valores, o bien diferentes claves y valores.
  - Debes proporcionar todos los pares clave:valor de la etiqueta en formato con espacio de nombres o sin espacio de nombres. Si se usan ambos formatos, se generará un error.