Creare e gestire tag protetti

Console

Per concedere all'utente il ruolo Amministratore del tag (roles/resourcemanager.tagAdmin):

1. Nella console Google Cloud vai alla pagina IAM.

   Vai a IAM

2. Nell'elenco del selettore di progetti, seleziona l'organizzazione o il progetto a cui vuoi assegnare il ruolo.

3. Fai clic su person_addConcedi l'accesso.

4. Nel campo Nuove entità, inserisci l'indirizzo email dell'utente. Ad esempio, my-user@example.com.

5. Nell'elenco Seleziona un ruolo, inserisci Tag nel campo Filtro e poi seleziona Amministratore tag.

6. Fai clic su Salva.

gcloud

Per concedere il ruolo Amministratore tag (roles/resourcemanager.tagAdmin) a un'entità IAM nei criteri IAM di un'organizzazione, utilizza il comando gcloud organizations add-iam-policy-binding:

gcloud organizations add-iam-policy-binding ORGANIZATION_ID \
    --member=user:EMAIL_ADDRESS \
    --role=roles/resourcemanager.tagAdmin

Sostituisci quanto segue:

• ORGANIZATION_ID: l'ID della tua organizzazione
• EMAIL_ADDRESS: l'indirizzo email dell'utente

Console

Per concedere all'utente il ruolo Utente tag (roles/resourcemanager.tagUser), segui questi passaggi:

1. Nella console Google Cloud vai alla pagina IAM.

   Vai a IAM

2. Nell'elenco del selettore di progetti, seleziona l'organizzazione o il progetto a cui vuoi assegnare il ruolo.

3. Fai clic su person_addConcedi l'accesso.

4. Nel campo Nuove entità, inserisci l'indirizzo email dell'utente. Ad esempio, my-user@example.com.

5. Nell'elenco Seleziona un ruolo, inserisci Tag nel campo Filtro e poi seleziona Utente tag.

6. (Facoltativo) Aggiungi una condizione al ruolo.

7. Fai clic su Salva.

gcloud

1. Per concedere il ruolo Utente con tag (roles/resourcemanager.tagUser) all'utente per un tag specifico, utilizza il comando gcloud resource-manager tags keys add-iam-policy-binding:

   gcloud resource-manager tags keys add-iam-policy-binding ORGANIZATION_ID/TAG_KEY \
       --member=user:EMAIL_ADDRESS \
       --role=roles/resourcemanager.tagUser
   

   Sostituisci quanto segue:

   • ORGANIZATION_ID: l'ID della tua organizzazione
   • TAG_KEY: la chiave tag sicura
   • EMAIL_ADDRESS: l'indirizzo email dell'utente

2. Per concedere il ruolo Utente tag (roles/resourcemanager.tagUser) a un principal IAM in modo che possa utilizzare tutti i valori dei tag di ogni chiave tag nell'organizzazione, utilizza il comando gcloud organizations add-iam-policy-binding:

   gcloud organizations add-iam-policy-binding ORGANIZATION_ID \
       --member=user:EMAIL_ADDRESS \
       --role=roles/resourcemanager.tagUser
   

   Sostituisci quanto segue:

   • ORGANIZATION_ID: l'ID della tua organizzazione
   • EMAIL_ADDRESS: l'indirizzo email dell'utente

3. Per concedere il ruolo Utente tag (roles/resourcemanager.tagUser) a un'entità IAM in modo che possa utilizzare un valore di tag specifico di una chiave di tag il cui parent è l'organizzazione, utilizza il comando gcloud resource-manager tags values add-iam-policy-binding:

   gcloud resource-manager tags values add-iam-policy-binding ORGANIZATION_ID/TAG_KEY/TAG_VALUE \
       --member=user:EMAIL_ADDRESS \
       --role=roles/resourcemanager.tagUser
   

   Sostituisci quanto segue:

   • ORGANIZATION_ID: l'ID della tua organizzazione
   • TAG_KEY: la chiave tag sicura
   • TAG_VALUE: il valore del tag sicuro
   • EMAIL_ADDRESS: l'indirizzo email dell'utente

4. Per concedere il ruolo Utente tag (roles/resourcemanager.tagUser) a un principal IAM in modo che possa utilizzare tutti i valori dei tag di ogni chiave tag in un progetto, utilizza il comando gcloud projects add-iam-policy-binding:

   gcloud projects add-iam-policy-binding PROJECT_NAME \
       --member=user:EMAIL_ADDRESS \
       --role=roles/resourcemanager.tagUser
   

   Sostituisci quanto segue:

   • PROJECT_NAME: il nome del progetto
   • EMAIL_ADDRESS: l'indirizzo email dell'utente

Console

Per creare una chiave e dei valori di tag sicuri:

1. Nella console Google Cloud , vai alla pagina Tag.

   Vai a Tag

2. Nell'elenco del selettore di progetti, seleziona l'organizzazione o il progetto in cui vuoi creare una chiave tag.

3. Fai clic su addCrea.

4. Nel campo Chiave tag, inserisci il nome visualizzato della chiave tag. Questo diventa parte del nome dello spazio dei nomi del tag.

5. (Facoltativo) Nel campo Descrizione chiave tag, inserisci una descrizione della chiave tag.

6. In Scopo del tag, seleziona Per l'utilizzo con Cloud NGFW.

7. Per creare un tag sicuro, esegui una delle seguenti operazioni:

   • Se i dati sullo scopo specificano una rete, seleziona Limita l'ambito a una singola rete.

   • Se i dati sullo scopo specificano un'organizzazione, deseleziona Limita l'ambito a una singola rete (anteprima).

8. Nella scheda Selezione rete, seleziona l'organizzazione o il progetto in cui vuoi creare una chiave tag sicura.

9. Nell'elenco Rete, seleziona la rete.

10. Se vuoi aggiungere valori tag a questa chiave, fai clic su addAggiungi valore per ogni valore tag che vuoi creare.

11. Nel campo Valore tag, inserisci il nome visualizzato del valore del tag. Questo diventa parte del nome dello spazio dei nomi del tag.

12. (Facoltativo) Nel campo Descrizione del valore tag, inserisci una descrizione del valore tag.

13. Quando hai finito di aggiungere i valori dei tag, fai clic su Crea chiave tag.

gcloud

1. Dopo aver ottenuto le autorizzazioni richieste, crea la chiave del tag sicuro a livello di organizzazione (Anteprima) o progetto.

   • Per creare una chiave tag sicura per un'organizzazione, utilizza il comando gcloud resource-manager tags keys create (anteprima):

     gcloud resource-manager tags keys create TAG_KEY \
         --parent organizations/ORGANIZATION_ID \
         --purpose GCE_FIREWALL \
         --purpose-data organization=auto
     

     Sostituisci quanto segue:

     • TAG_KEY: la chiave tag sicura
     • ORGANIZATION_ID: l'ID della tua organizzazione

   • Per creare una chiave tag sicura per un progetto o un'organizzazione i cui dati sullo scopo identificano una singola rete VPC, utilizza il comando gcloud resource-manager tags keys create:

     gcloud resource-manager tags keys create TAG_KEY \
         --parent organizations/ORGANIZATION_ID \
         --purpose GCE_FIREWALL \
         --purpose-data network=PROJECT_ID/NETWORK
     

     Sostituisci quanto segue:

     • TAG_KEY: la chiave tag sicura
     • ORGANIZATION_ID: l'ID della tua organizzazione
     • PROJECT_ID: l'ID del tuo progetto
     • NETWORK: il nome della tua rete

2. Per aggiungere i valori dei tag sicuri pertinenti alle chiavi dei tag sicuri, utilizza il comando gcloud resource-manager tags values create:

     gcloud resource-manager tags values create TAG_VALUE \
         --parent ORGANIZATION_ID/TAG_KEY
   

   Sostituisci quanto segue:

   • TAG_VALUE: il valore da assegnare alla chiave del tag sicuro
   • ORGANIZATION_ID: l'ID della tua organizzazione
   • TAG_KEY: la chiave tag sicura

   Esegui il comando più volte per aggiungere più valori. Assicurati che ogni valore del tag sicuro aggiunto alla chiave del tag sicuro sia univoco.

Console

1. Nella console Google Cloud , vai alla pagina Policy firewall.

   Vai a Criteri firewall

2. Nell'elenco del selettore di progetti, seleziona l'ID organizzazione o una cartella all'interno dell'organizzazione.

3. Fai clic su Crea criterio firewall.

4. Nel campo Nome criterio, inserisci il nome.

5. Se vuoi creare regole per il criterio, fai clic su Continua > Crea regola firewall.

   Per maggiori dettagli, vedi Creare una regola del criterio firewall gerarchico con tag sicuri.

6. Se vuoi associare le norme a una risorsa, fai clic su Continua > Aggiungi.

   Per maggiori dettagli, vedi Associare un criterio all'organizzazione o alla cartella.

7. Fai clic su Continua > Crea.

gcloud

Per creare un criterio firewall gerarchico, utilizza il comando gcloud compute firewall-policies create:

gcloud compute firewall-policies create \
    [--organization ORGANIZATION_ID] | [--folder FOLDER_ID] \
    --short-name SHORT_NAME

Sostituisci quanto segue:

• ORGANIZATION_ID: l'ID della tua organizzazione

  Specifica questo ID se stai creando la policy a livello di organizzazione. Questo ID indica solo dove risiede il criterio, ma non lo associa automaticamente alla risorsa dell'organizzazione.

• FOLDER_ID: l'ID di una cartella

  Specifica questo ID se stai creando la policy in una determinata cartella. Questo ID indica solo la posizione in cui si trova il criterio; non associa automaticamente il criterio a quella cartella.

• SHORT_NAME: un nome per la policy

  Una policy creata utilizzando Google Cloud CLI ha due nomi: un nome generato dal sistema e un nome breve fornito da te. Quando utilizzi Google Cloud CLI per aggiornare un criterio esistente, puoi fornire il nome generato dal sistema o il nome breve e l'ID organizzazione. Quando utilizzi l'API per aggiornare le norme, devi fornire il nome generato dal sistema.

Console

1. Nella console Google Cloud , vai alla pagina Policy firewall.

   Vai a Criteri firewall

2. Nell'elenco del selettore di progetti, seleziona il tuo progetto all'interno della tua organizzazione.

3. Fai clic su Crea criterio firewall.

4. Nel campo Nome criterio, inserisci il nome.

5. In Ambito di deployment, seleziona Globale.

6. Se vuoi creare regole per il criterio, fai clic su Continua > Crea regola firewall.

   Per maggiori dettagli, vedi Creare una regola del criterio firewall di rete con tag sicuri.

7. Se vuoi associare le norme a un'emittente, fai clic su Continua > Associa.

   Per maggiori dettagli, vedi Associare una policy alla rete.

8. Fai clic su Continua > Crea.

gcloud

Per creare una policy firewall di rete, utilizza il comando gcloud compute network-firewall-policies create:

 gcloud compute network-firewall-policies create \
     NETWORK_FIREWALL_POLICY_NAME \
     --description DESCRIPTION \
     --global

Sostituisci quanto segue:

• NETWORK_FIREWALL_POLICY_NAME: un nome per la policy
• DESCRIPTION: una descrizione della policy

Console

1. Nella console Google Cloud , vai alla pagina Policy firewall.

   Vai a Criteri firewall

2. Nell'elenco del selettore di progetti, seleziona l'ID organizzazione o la cartella che contiene la policy.

3. Fai clic sul nome della policy e poi su Crea regola firewall.

4. Inserisci la priorità della regola.

5. Specifica la direzione del traffico.

6. Per Azione in caso di corrispondenza, scegli un'impostazione.

7. Per Log, scegli On o Off.

8. In Target, seleziona Tag sicuri, quindi fai clic su Seleziona ambito.

9. Nella pagina Seleziona una risorsa, seleziona l'organizzazione o il progetto in cui vuoi creare tag sicuri.

10. Inserisci le coppie chiave-valore a cui deve essere applicata la regola.

11. Per aggiungere altre coppie chiave-valore, fai clic su Aggiungi tag.

12. Nella sezione Origine, per Tag, fai clic su Seleziona ambito.

13. Nella pagina Seleziona una risorsa, seleziona l'organizzazione o la cartella che contiene le chiavi dei tag sicuri.

14. Fai clic su Crea.

gcloud

Per creare una regola di policy firewall gerarchica, utilizza il comando gcloud compute firewall-policies rules create:

 gcloud compute firewall-policies rules create \
     --firewall-policy FIREWALL_POLICY_NAME \
     --src-secure-tags ORGANIZATION_ID/TAG_KEY/TAG_VALUE \
     --target-secure-tags ORGANIZATION_ID/TAG_KEY/TAG_VALUE \
     --direction DIRECTION \
     --action ACTION \
     --layer4-configs tcp:PORT

Sostituisci quanto segue:

• FIREWALL_POLICY_NAME: il nome del criterio firewall gerarchico
• ORGANIZATION_ID: l'ID della tua organizzazione
• TAG_KEY: la chiave tag sicura
• TAG_VALUE: il valore da assegnare alla chiave del tag sicuro
• DIRECTION: indica se la regola è una regola ingress o egress
• ACTION: una delle seguenti azioni:
  • allow: consente le connessioni che corrispondono alla regola
  • deny: nega le connessioni che corrispondono alla regola
  • goto_next: passa la valutazione della connessione al livello successivo della gerarchia, ovvero una cartella o la rete
• PORT: il numero di porta per accedere alla risorsa

Console

1. Nella console Google Cloud , vai alla pagina Policy firewall.

   Vai a Criteri firewall

2. Nell'elenco del selettore di progetti, seleziona il progetto o la cartella che contiene il criterio.

3. Fai clic sul nome della policy e poi su Crea regola firewall.

4. Inserisci la priorità della regola.

5. Specifica la direzione del traffico.

6. Per Azione in caso di corrispondenza, scegli un'impostazione.

7. Per Log, scegli On o Off.

8. In Target, seleziona Tag sicuri, quindi fai clic su Seleziona ambito.

9. Nella pagina Seleziona una risorsa, seleziona l'organizzazione o il progetto in cui vuoi creare tag sicuri.

10. Inserisci le coppie chiave-valore a cui deve essere applicata la regola.

11. Per aggiungere altre coppie chiave-valore, fai clic su Aggiungi tag.

12. Nella sezione Origine, per Tag, fai clic su Seleziona ambito.

13. Nella pagina Seleziona una risorsa, seleziona l'organizzazione o la cartella che contiene le chiavi dei tag sicuri.

14. Fai clic su Crea.

gcloud

Per creare una regola della policy firewall di rete, utilizza il comando gcloud compute network-firewall-policies rules create:

 gcloud compute network-firewall-policies rules create \
     --firewall-policy FIREWALL_POLICY_NAME \
     --src-secure-tags ORGANIZATION_ID/TAG_KEY/TAG_VALUE \
     --target-secure-tags ORGANIZATION_ID/TAG_KEY/TAG_VALUE \
     --direction DIRECTION \
     --action ACTION \
     --layer4-configs tcp:PORT \
     --global-firewall-policy

Sostituisci quanto segue:

• FIREWALL_POLICY_NAME: il nome della nuova policy di firewall di rete globale
• ORGANIZATION_ID: l'ID della tua organizzazione
• TAG_KEY: la chiave tag
• TAG_VALUE: il valore da assegnare alla chiave tag
• DIRECTION: indica se la regola è una regola ingress o egress
• ACTION: una delle seguenti azioni:
  • allow: consente le connessioni che corrispondono alla regola
  • deny: nega le connessioni che corrispondono alla regola
  • goto_next: passa la valutazione della connessione al livello successivo della gerarchia, ovvero una cartella o la rete
• PORT: il numero di porta per accedere alla risorsa

Console

Per associare i tag sicuri alle istanze VM:

1. Nella console Google Cloud , vai alla pagina Istanze VM.

   Vai a Istanze VM

2. Seleziona il progetto e fai clic su Continua.

3. Nella colonna Nome, fai clic sul nome della VM per cui vuoi aggiungere i tag.

4. Nella pagina dei dettagli dell'istanza VM, completa i seguenti passaggi:

   1. Fai clic su Modifica.
   2. Nella sezione Informazioni di base, fai clic su Gestisci tag e aggiungi i tag che preferisci per l'istanza.
   3. Fai clic su Salva.

gcloud

Per informazioni su come utilizzare questi flag, leggi Collegare tag alle risorse nella documentazione di Resource Manager.

Ad esempio, il seguente comando associa un tag a una VM:

gcloud resource-manager tags bindings create \
    --location LOCATION_NAME \
    --tag-value=tagValues/TAGVALUE_ID \
    --parent=//compute.googleapis.com/projects/PROJECT_NUMBER/zones/ZONE/instances/VM_ID

Sostituisci quanto segue:

• LOCATION_NAME: la regione che contiene la risorsa di destinazione; in questo esempio, la regione dell'istanza VM
• TAGVALUE_ID: l'ID numerico del valore tag
• PROJECT_NUMBER: l'ID numerico del progetto che contiene la risorsa di destinazione
• ZONE: la zona che contiene la risorsa di destinazione; in questo esempio, la zona dell'istanza VM
• VM_ID: l'ID istanza VM

REST

Per associare un tag a una risorsa, devi prima creare una rappresentazione JSON di un'associazione di tag che includa l'ID permanente o il nome dello spazio dei nomi del valore del tag e l'ID permanente della risorsa. Per ulteriori informazioni sul formato di un'associazione di tag, consulta la documentazione di riferimento di tagBindings.

Per collegare il tag a una risorsa di zona, ad esempio un'istanza VM, utilizza il metodo tagBindings.create con l'endpoint di regione in cui si trova la risorsa. Ad esempio:

POST https://LOCATION_NAME-cloudresourcemanager.googleapis.com/v3/tagBindings

Il corpo della richiesta può essere una delle seguenti due opzioni:

{
  "parent": "//compute.googleapis.com/projects/PROJECT_NUMBER/zones/ZONE/instances/VM_ID",
  "tagValue": "tagValue/TAGVALUE_ID"
}

{
  "parent": "//compute.googleapis.com/projects/PROJECT_NUMBER/zones/ZONE/instances/VM_ID",
  "tagValueNamespacedName": TAGVALUE_NAMESPACED_NAME
}

Sostituisci quanto segue:

• LOCATION_NAME: la regione che contiene la risorsa di destinazione; in questo esempio, la regione dell'istanza VM
• PROJECT_NUMBER: l'ID numerico del progetto che contiene la risorsa di destinazione
• ZONE: la zona che contiene la risorsa di destinazione; in questo esempio, la zona dell'istanza VM
• VM_ID: l'ID istanza VM
• TAGVALUE_ID: l'ID permanente del valore del tag allegato, ad esempio: 4567890123
• TAGVALUE_NAMESPACED_NAME: il nome dello spazio dei nomi del valore tag collegato e ha il formato: parentNamespace/tagKeyShortName/tagValueShortName

Console

A seconda del tipo di risorsa, i passaggi esatti potrebbero variare. I passaggi riportati di seguito si riferiscono a una VM:

1. Nella console Google Cloud , vai alla pagina Istanze VM.

   Vai a Istanze VM

2. Seleziona il progetto e fai clic su Continua.

3. Fai clic su Crea istanza. Viene visualizzata la pagina Crea un'istanza, che mostra il riquadro Configurazione macchina.

4. Nel menu di navigazione, fai clic su Avanzato. Nel riquadro Avanzate visualizzato, segui questi passaggi:

   1. Espandi la sezione expand_moreGestisci tag ed etichette.
   2. Fai clic su addAggiungi tag.
   3. Nel riquadro Tag che si apre, segui le istruzioni per aggiungere un tag all'istanza.
   4. Fai clic su Salva.

5. Specifica altre opzioni di configurazione per l'istanza. Per ulteriori informazioni, consulta Opzioni di configurazione durante la creazione dell'istanza.

6. Per creare e avviare la VM, fai clic su Crea.

gcloud

Per collegare un tag a una risorsa durante la creazione, aggiungi il --resource-manager-tags flag con il rispettivo comando create. Ad esempio, per collegare un tag a una VM, utilizza il seguente comando:

  gcloud compute instances create INSTANCE_NAME \
      --zone=ZONE \
      --resource-manager-tags=tagKeys/TAGKEY_ID=tagValues/TAGVALUE_ID

Sostituisci quanto segue:

• INSTANCE_NAME: il nome dell'istanza VM
• ZONE: la zona che contiene l'istanza VM
• TAGKEY_ID: l'ID numerico del numero della chiave del tag
• TAGVALUE_ID: l'ID numerico permanente del valore del tag allegato, ad esempio: 4567890123

Specifica più tag separandoli con una virgola, ad esempio TAGKEY1=TAGVALUE1,TAGKEY2=TAGVALUE2.

REST

Invia una richiesta POST al seguente URL:

POST https://compute.googleapis.com/compute/v1/projects/PROJECT/zones/ZONE/instances

Includi il seguente corpo JSON della richiesta:

{
  "name": INSTANCE_NAME,
  "params": {
    "resourceManagerTags": {
      "tagKeys/TAGKEY_ID": "tagValues/TAGVALUE_ID",
    },
  }
  // other fields omitted
}

Sostituisci quanto segue:

• INSTANCE_NAME: il nome dell'istanza VM
• TAGKEY_ID: l'ID numerico del numero della chiave del tag
• TAGVALUE_ID: l'ID numerico permanente del valore del tag allegato, ad esempio: 4567890123