管理资源标记

本指南介绍如何创建和管理 Compute Engine 资源的标记。标记是可附加到Google Cloud 资源的键值对。标记具有多种用途，包括：

• 根据资源是否有特定标记，视条件允许或拒绝政策。
• 在全球网络防火墙政策和区域级网络防火墙政策中定义来源和目标。
• 按逻辑组织资源。

创建标记并向该标记和资源授予相应的访问权限后，您能够以键值对的形式附加该标记。对于给定键，您只能将一个值附加到资源。例如，如果您附加了 environment: development 标记，则无法附加 environment: production 或 environment: test 标记。每个资源最多可以关联 50 个键值对。

如需将标记附加到资源，您必须创建将标记值关联到 Google Cloud 资源的标记绑定资源。如需详细了解标记及其工作原理，请参阅标记概览。

准备工作

• 阅读 Resource Manager 文档中的标记概览。
• 阅读 Resource Manager 文档中的创建和管理标记。
• 如果您尚未设置身份验证，请进行设置。身份验证是通过其进行身份验证以访问 Google Cloud 服务和 API 的过程。如需从本地开发环境运行代码或示例，您可以通过选择以下选项之一向 Compute Engine 进行身份验证：
  

  Select the tab for how you plan to use the samples on this page:

  Console

  When you use the Google Cloud console to access Google Cloud services and APIs, you don't need to set up authentication.

  gcloud

  1. 安装 Google Cloud CLI。 安装完成后，运行以下命令来初始化 Google Cloud CLI：

     gcloud init

     如果您使用的是外部身份提供方 (IdP)，则必须先使用联合身份登录 gcloud CLI。

  2. Set a default region and zone.

  REST

  如需在本地开发环境中使用本页面上的 REST API 示例，请使用您提供给 gcloud CLI 的凭证。

  安装 Google Cloud CLI。 安装完成后，运行以下命令来初始化 Google Cloud CLI：

  gcloud init

  如果您使用的是外部身份提供方 (IdP)，则必须先使用联合身份登录 gcloud CLI。

  如需了解详情，请参阅 Google Cloud 身份验证文档中的使用 REST 时进行身份验证。

所需的角色

如需获得为 Compute Engine 资源创建和管理标记所需的权限，请让管理员向您授予组织或项目的以下 IAM 角色：

• Compute Instance Admin (v1) (roles/compute.instanceAdmin.v1)
• 如需创建和管理标记，您需要拥有 Tag Administrator 角色 (roles/resourcemanager.tagAdmin)。
• 如需管理现有标记，您需要拥有： Tag User 角色 (roles/resourcemanager.tagUser)

如需详细了解如何授予角色，请参阅管理对项目、文件夹和组织的访问权限。

这些预定义角色可提供创建和管理 Compute Engine 资源的标记所需的权限。如需查看所需的确切权限，请展开所需权限部分：

您也可以使用自定义角色或其他预定义角色来获取这些权限。

支持的资源

Compute Engine 支持为以下资源添加标记：

• 仅在创建资源后：

  • 托管实例组 (MIG)
  • 图片
  • 快照
  • 大多数网络资源，例如网络、子网、防火墙和健康检查资源。

• 在创建资源期间和之后：虚拟机 (VM) 实例和磁盘

向资源添加标记

您可以将现有标记附加到特定资源。创建资源后，请按照以下说明将标记附加到该资源。

gcloud resource-manager tags bindings create \
    --location LOCATION_NAME \
    --tag-value=tagValues/TAGVALUE_ID \
    --parent=//compute.googleapis.com/projects/PROJECT_NUMBER/zones/ZONE/instances/VM_ID

POST https://LOCATION_NAME-cloudresourcemanager.googleapis.com/v3/tagBindings

{
  "parent": "//compute.googleapis.com/projects/PROJECT_NUMBER/zones/ZONE/instances/VM_ID",
  "tagValue": "tagValue/TAGVALUE_ID"
}

{
  "parent": "//compute.googleapis.com/projects/PROJECT_NUMBER/zones/ZONE/instances/VM_ID",
  "tagValueNamespacedName": TAGVALUE_NAMESPACED_NAME
}

在创建资源期间向资源添加标记

在某些情况下，您可能需要在创建资源期间标记资源，而不是在创建资源之后。

  gcloud compute instances create INSTANCE_NAME \
      --zone=ZONE \
      --resource-manager-tags=tagKeys/TAGKEY_ID=tagValues/TAGVALUE_ID

POST https://compute.googleapis.com/compute/v1/projects/PROJECT/zones/ZONE/instances

{
  "name": INSTANCE_NAME,
  "params": {
    "resourceManagerTags": {
      "tagKeys/TAGKEY_ID": "tagValues/TAGVALUE_ID",
    },
  }
  // other fields omitted
}

将标记与防火墙规则搭配使用

如需安全地允许网络流量流向特定 Compute Engine 实例，您可以为该实例应用网络标记或安全标记。然后，您可以创建针对该标记的防火墙规则。这有助于大规模管理对实例的访问权限。

例如，假设您有一个运行 Web 服务器的计算实例，并且您创建了一个新的 Web 应用，该应用需要通过标准 HTTP 端口 (80) 向公众开放。您可以使用网络标记或安全标记来实现防火墙规则，该规则仅向运行Web 服务器的计算实例授予 HTTP 访问权限。

如需了解如何创建可在防火墙政策中使用的标记，请参阅以下内容：

• 如需将网络标记与 VPC 防火墙规则搭配使用，请参阅添加网络标记。
• 如需将安全标记与分层防火墙政策、全球和区域级网络防火墙政策搭配使用，或与使用 VPC 网络对等互连连接的来源搭配使用，请参阅创建和管理安全标记。

如需了解是使用服务账号还是网络标记来定义网络入站规则的目标和来源，请参阅按服务账号过滤与按网络标记过滤。

从资源分离标记

您可以通过删除标记绑定资源，从资源分离标记。

如需查看有关如何分离标记的说明，请参阅 Resource Manager 文档中的从资源分离标记。

gcloud resource-manager tags bindings delete \
    --location LOCATION_NAME \
    --tag-value=tagValues/TAGVALUE_ID \
    --parent //compute.googleapis.com/projects/PROJECT_NUMBER/zones/ZONE/instances/INSTANCE_ID

DELETE https://LOCATION-cloudresourcemanager.googleapis.com/v3/{name=TAGBINDINGS_NAME}

查看附加到资源的标记

如需查看有关如何列出标记的详细说明，请参阅 Resource Manager 文档中的列出附加到资源的所有标记。

gcloud resource-manager tags bindings list \
    --location=LOCATION_NAME \
    --parent //compute.googleapis.com/projects/PROJECT_NUMBER/zones/ZONE/instances/VM_ID

namespacedTagKey: 961309089256/environment
namespacedTagValue: 961309089256/environment/production
tagKey: tagKeys/417628178507
tagValue: tagValues/247197504380
inherited: true

GET https://LOCATION_NAME-cloudresourcemanager.googleapis.com/v3/tagBindings

{
    "parent": "//compute.googleapis.com/projects/PROJECT_NUMBER/zones/ZONE/instances/VM_ID"
}

后续步骤

• 标记概述
• 创建和管理标记
• 将安全标记绑定到虚拟机实例