タグを使用して GKE リソースを管理する

このページでは、タグを使用して Google Kubernetes Engine（GKE）クラスタを管理し、Identity and Access Management ポリシーをノードに条件付きで適用する方法について説明します。

概要

タグは、組織レベルまたはプロジェクト レベルで Google Cloud リソースにアノテーションを付けて管理できる Key-Value です。タグを使用してリソースを整理し、ファイアウォールや IAM ポリシーなどの条件付きでポリシーを適用できます。タグは IAM アクセス制御をサポートしており、タグの添付、作成、更新、削除を実施できるユーザーを定義できます。

GKE でタグを使用するユースケース

次のような状況では、GKE でタグを使用できます。

• 特定のノードにネットワーク ファイアウォール ポリシーを条件付きで適用します。たとえば、公共のインターネットからステージング環境またはテスト環境のクラスタのすべてのノードへの上り（内向き）トラフィックを拒否します。手順については、GKE でネットワーク ファイアウォール ポリシーを選択的に適用するをご覧ください。
• タグに基づいて IAM ロールを条件付きで付与します。たとえば、通常はフルタイムの従業員のみが使用できる特定の環境へのアクセスを請負業者に自動的に許可します。手順については、このドキュメントの残りの部分をご覧ください。
• プロジェクト レベルまたは組織レベルで適用されたタグに基づいて、課金情報の監査と分析を行います。

仕組み

ネットワーク ファイアウォール ポリシーの適用では、タグを作成し、ファイアウォールで使用するタグを明示的に指定します。それ以外の目的では、ファイアウォールを指定せずにタグを作成します。

タグを作成したら、そのタグを Key-Value ペアとして GKE リソースに追加します。ネットワーク ファイアウォール ポリシーの場合は GKE API を使用し、その他の場合は Tags API を使用します。

キーごとに、1 つの値を 1 つのリソースに付加できます。たとえば、env:dev を GKE クラスタに付加した場合、env:prod または env:test は付加できません。各リソースには、ファイアウォール以外のタグを最大 50 個、ファイアウォール タグを最大 5 個適用できます。

GKE でのリソース アノテーションの方法

GKE では、次の表に概要を示すように、リソースにアノテーションを付加する方法がいくつかあります。

始める前に

作業を始める前に、次のことを確認してください。

• Google Kubernetes Engine API を有効にする。
Google Kubernetes Engine API の有効化
• このタスクに Google Cloud CLI を使用する場合は、gcloud CLI をインストールして初期化する。すでに gcloud CLI をインストールしている場合は、gcloud components update を実行して最新のバージョンを取得する。

• 次の IAM ロールがあることを確認します。

  • roles/resourcemanager.tagAdmin
  • roles/resourcemanager.tagUser

  これらのロールで付与される権限については、必要な権限をご覧ください。

• GKE クラスタが実行されていることを確認します。

クラスタにタグを付加する

適切な権限を付与されている場合は、Google Cloud CLI、Google Cloud コンソール、Tags API、または Terraform を使用して既存のクラスタにタグを付加できます。

gcloud alpha resource-manager tags bindings create \
    --tag-value=TAG_VALUE_ID \
    --parent=RESOURCE_ID \
    --location=CLUSTER_LOCATION

POST https://LOCATION-cloudresourcemanager.googleapis.com/v3/tagBindings

{
  "parent": "RESOURCE_ID",
  "tagValue": "TAG_VALUE_ID"
}

{
  "done": true,
  "response": {
    "@type": "type.googleapis.com/google.cloud.resourcemanager.v3.TagBinding",
    "name": "tagBindings///container.googleapis.com/projects/PROJECT_ID/locations/LOCATION/clusters/CLUSTER_NAME/tagValues/TAG_VALUE_ID",
    "parent": "//container.googleapis.com/projects/PROJECT_ID/locations/LOCATION/clusters/CLUSTER_NAME",
    "tagValue": "TAG_VALUE_ID"
  }
}

resource "google_container_cluster" "default" {
  name     = "gke-autopilot-tag"
  location = "us-central1"

  enable_autopilot = true

  # Set `deletion_protection` to `true` will ensure that one cannot
  # accidentally delete this instance by use of Terraform.
  deletion_protection = false
}

data "google_project" "default" {}

resource "google_tags_tag_key" "default" {
  parent      = "projects/${data.google_project.default.project_id}"
  short_name  = "env"
  description = "Environment tag key"
}

resource "google_tags_tag_value" "default" {
  parent      = "tagKeys/${google_tags_tag_key.default.name}"
  short_name  = "dev"
  description = "Development environment tag value."
}

resource "google_tags_location_tag_binding" "default" {
  parent    = "//container.googleapis.com/${google_container_cluster.default.id}"
  location  = google_container_cluster.default.location
  tag_value = "tagValues/${google_tags_tag_value.default.name}"
}

クラスタに付加されたタグを一覧取得する

クラスタに付加されたタグは、gcloud CLI、Google Cloud コンソール、または Tags API を使用して一覧表示できます。

gcloud alpha resource-manager tags bindings list \
    --parent=RESOURCE_ID \
    --location=CLUSTER_LOCATION

GET https://LOCATION-cloudresourcemanager.googleapis.com/v3/tagBindings

{
  "parent": RESOURCE_ID,
}

"tagBindings": [
  {
    "name": "tagBindings/%2F%2Fcontainer.googleapis.com%2Fprojects%2Ftags-bugbash-project%2Flocations%2LOCATION%2Fclusters%2Ftestcluster/tagValues/758072120217",
    "parent": "//container.googleapis.com/projects/PROJECT_ID/locations/LOCATION/clusters/CLUSTER_NAME",
    "tagValue": "TAG_VALUE_ID"
  }
]

クラスタからタグを切り離す

gcloud CLI、Google Cloud コンソール、または Tags API を使用して、クラスタに接続されたタグ バインディング リソースを削除することで、タグをクラスタから切り離すことができます。タグを削除する必要がある場合は、まず、接続されているすべてのリソースから切断する必要があります。

gcloud alpha resource-manager tags bindings delete \
    --tag-value=TAG_VALUE_ID \
    --parent=RESOURCE_ID \
    --location=CLUSTER_LOCATION

DELETE https://LOCATION-cloudresourcemanager.googleapis.com/v3/TAG_BINDING_NAME

タグキーとタグ値を削除する

タグキーとタグ値を削除する前に、すべてのリソースからタグが切断されていることを確認します。その後、タグの削除を参照して、キーと値を削除します。

Identity and Access Management の条件とタグ

タグと IAM の条件を使用すると、プロジェクト階層内のユーザーに条件付きでロール バインディングを付与できます。条件付きロール バインディングを含む IAM 許可ポリシーが適用されている場合、クラスタに付加されたタグを変更または削除すると、GKE はそのクラスタへのユーザー アクセスを削除できます。

GKE クラスタの一覧取得と作成の承認は、個々のクラスタレベルではなく、プロジェクト レベルで確認されます。クラスタレベルのタグで条件付き IAM ロール バインディングを使用して特定のクラスタへのアクセスを制限すると、それらのユーザーがプロジェクトでクラスタを一覧取得または作成しようとすると、エラーが発生する可能性があります。これらのエラーを回避するには、親プロジェクトにタグを付加し、条件付きロール バインディングを使用して一覧取得または作成を行うためのアクセス権を付与します。ロールと権限については、IAM ロールのリファレンスをご覧ください。

IAM での条件付きアクセス権付与の詳細については、Identity and Access Management の条件とタグをご覧ください。

次のステップ

• タグを使用して組織のポリシーを設定する方法を確認する。
• タグを管理してリソースにタグを適用する方法の詳細を確認する。
• タグをサポートするその他のサービス確認する。
• IAM でタグを使用する方法を確認する。