建立及管理標記

本指南說明如何建立及管理服務帳戶資源的標記。

關於代碼

標記是可附加至Google Cloud內資源的鍵/值組合。您可以根據資源是否具備特定標記，有條件地允許或拒絕政策。舉例來說，您可以根據資源是否具備特定標記，有條件地授予 Identity and Access Management (IAM) 角色。如要進一步瞭解標記，請參閱「標記總覽」。

如要將標記附加至資源，請建立標記繫結資源，將值連結至 Google Cloud 資源。

所需權限

您需要的權限取決於要執行的動作。

如要取得這些權限，請要求管理員在資源階層的適當層級授予建議的角色。

查看代碼

如要查看標記定義和附加至資源的標記，您需要「標記檢視者」角色 (roles/resourcemanager.tagViewer)，或是包含下列權限的其他角色：

如要在機構層級查看標記，您必須在機構資源上擁有機構檢視者角色 (roles/resourcemanager.organizationViewer)。

管理標記

如要建立、更新及刪除代碼定義，您需要「代碼管理員」角色 (roles/resourcemanager.tagAdmin)，或是包含下列權限的其他角色：

如要在機構層級管理標記，您需要機構資源的機構檢視者角色 (roles/resourcemanager.organizationViewer)。

管理資源標記

如要新增及移除附加至資源的標記，您必須在標記值和要附加標記值的資源上，都具備「標記使用者」 (roles/resourcemanager.tagUser) 角色，或是其他具有同等權限的角色。「標記使用者」角色具備下列權限：

如要取得將標記附加至服務帳戶所需的權限，請要求管理員授予您服務帳戶的「服務帳戶管理員」 (roles/iam.ServiceAccountAdmin) IAM 角色。如要進一步瞭解如何授予角色，請參閱「管理專案、資料夾和機構的存取權」。

您或許還可透過自訂角色或其他預先定義的角色取得必要權限。

建立標記鍵和值

您必須先建立代碼並設定其值，才能附加代碼。 如要建立標記鍵和標記值，請參閱「建立標記」和「新增標記值」。

為現有資源新增標記

如要為現有服務帳戶新增代碼，請按照下列步驟操作：

      gcloud resource-manager tags bindings create \
          --tag-value=TAGVALUE_NAME \
          --parent=RESOURCE_ID
      

列出附加至資源的標記

您可以查看直接附加至服務帳戶或由服務帳戶繼承的標記繫結清單。

      gcloud resource-manager tags bindings list \
          --parent=RESOURCE_ID
      

name: tagBindings/%2F%2Fcloudresourcemanager.googleapis.com%2Fprojects%2F7890123456/tagValues/567890123456
          tagValue: tagValues/567890123456
          resource: //iam.googleapis.com/projects/test-project/serviceAccounts/1029384756
      

從資源卸離標記

您可以將直接附加至服務帳戶的標記分離。如要覆寫繼承的標記，請附加具有相同鍵和不同值的標記，但無法卸離。

      gcloud resource-manager tags bindings delete \
          --tag-value=TAGVALUE_NAME \
          --parent=RESOURCE_ID
      

刪除標籤鍵和值

移除標籤鍵或值定義時，請務必將標籤從服務帳戶中分離。您必須先刪除現有代碼附件 (稱為代碼繫結)，才能刪除代碼定義本身。如要刪除標記鍵和標記值，請參閱刪除標記。

身分與存取權管理條件和標記

您可以使用標記和 IAM 條件，有條件地將角色繫結授予階層中的使用者。如果已套用具有條件角色繫結的 IAM 政策，變更或刪除附加至資源的標記，可能會移除使用者對該資源的存取權。詳情請參閱「身分與存取權管理條件和標記」。

後續步驟

• 查看其他支援代碼的服務。
• 如要瞭解如何搭配 IAM 使用標記，請參閱「標記和存取權控管」。