Google Cloud には、リソースに目印を付ける仕組みが複数あります。ラベル、タグ、ネットワークタグ。名前が似ているうえに、コンソールでもフィールド名が labels と tags で並んで出てくるので、どれに何を書けばいいのか迷います。
しかも「タグ」と呼ばれるものが1つではありません。Resource Manager のタグ、ファイアウォールで使うセキュアタグ、そして VM に付けるネットワークタグ。さらにプレビューでセマンティックタグというものも増えています。
役割はそれぞれ違い、代わりが利きません。課金で集計したいのか、権限を制御したいのか、ファイアウォールで絞りたいのか。目的から選ぶものが決まります。整理します。
全体像
| 何のためのものか | 形 | 事前定義 | 階層の継承 | |
|---|---|---|---|---|
| ラベル | 課金の集計、リソースの分類 | key-value | 不要 | されない |
| タグ（Resource Manager） | IAM と組織ポリシーの条件 | key-value | 必要 | される |
| セキュアタグ | ファイアウォールポリシーの送信元・宛先 | key-value（タグの一種） | 必要 | される |
| ネットワークタグ | VPC ファイアウォールルールとルート | ただの文字列 | 不要 | されない |
| セマンティックタグ（プレビュー） | App Hub 由来の標準化された属性 | key-value（タグの一種） | 自動 | される |
セキュアタグとセマンティックタグは独立した機能ではなく、Resource Manager のタグに特別な用途を持たせたものです。ここが分かると全体が整理しやすくなります。
ラベル：課金のための道具
ラベルは key-value のペアで、リソースに直接付けます。公式ドキュメントの説明はこうです。
A label is a key-value pair that you can assign to Google Cloud resources. They help you organize these resources and manage your costs at scale
コストの管理が最初に挙がっているとおり、ラベルの主戦場は課金です。付けたラベルは請求システムに送られ、Cloud Billing のレポートで絞り込みやグループ化ができます。BigQuery にエクスポートした請求データからも参照できます。
制約は次のとおりです。
- 1リソースあたり最大 64個
- キーは1〜63文字、値は空でもよく最大63文字
- 使えるのは小文字、数字、アンダースコア、ハイフン（国際文字も可）
- キーは小文字か国際文字で始まる
- 同一リソース内でキーは一意
事前の定義が要らず、いつでも付け外しできるのが特徴です。プロジェクトやチームごとにコストを按分したい、という用途にはこれが素直に当たります。
逆に、ラベルでは権限の制御ができません。「このラベルが付いたリソースだけ触らせる」という書き方はできない、という点が次のタグとの決定的な違いです。
タグ：ポリシーのための道具
Resource Manager のタグは、見た目こそ key-value ですが、成り立ちがラベルと大きく違います。公式ドキュメントの表現を借りると、タグキーもタグ値もタグバインディングも、それぞれが独立したリソースです。
Tag keys, tag values, and tag bindings are all discrete resources
つまり、組織かプロジェクトのレベルで「こういうキーがあり、こういう値を取りうる」と先に定義しておき、そのうえでリソースに結び付ける（バインドする）という手順を踏みます。ラベルのようにその場で好きな文字列を書けません。
面倒に見えますが、この構造だからこそできることがあります。
階層で継承される。フォルダにタグを付ければ、その下のプロジェクトとリソースに効きます。ラベルは継承しないので、これはタグ固有の性質です。
IAM の条件に書ける。許可ポリシーと拒否ポリシーの条件でタグを参照できます。「environment タグが production のリソースに対しては削除を拒否する」といった制御が書けるのはこちらです。
組織ポリシーの条件にも書けます。一部のリソースについて、条件付き制約からタグを参照できます。
公式の比較表から、実務で効く違いを抜き出すとこうなります。
| タグ | ラベル | |
|---|---|---|
| 定義の場所 | 組織またはプロジェクト | 各リソース |
| 付ける前の準備 | タグキーとタグ値の定義が必須 | 不要 |
| 継承 | 階層の下位に継承される | されない |
| 削除 | バインディングが残っていると削除できない | いつでも外せる |
| キーと値の長さ | 最大 256文字 | 最大 63文字 |
| 許可・拒否ポリシー | 条件から参照できる | できない |
| 組織ポリシー | 条件付き制約から参照できる | できない |
| 課金 | チャージバックや原価配賦の分析に使える | レポートでの絞り込みとエクスポートに使える |
削除の条件は運用で効いてきます。タグ値に紐づいたバインディングが1つでも残っていると、そのタグは消せません。使わなくなったタグを整理するときは、先にバインディングを外す必要があります。
ネットワークタグ：ファイアウォールのための道具
ここで毛色が変わります。ネットワークタグは key-value ですらありません。
A tag is simply a character string added to a tags field in a resource, such as Compute Engine virtual machine (VM) instances or instance templates. A tag is not a separate resource, so you cannot create it separately.
ただの文字列で、リソースですらない。VM に web-server と書いておくと、同じ文字列を書いた VM が全部「そのタグを持っている」ことになります。作成という操作がなく、書いた瞬間に存在します。
用途は、VPC ファイアウォールルールとルートの適用対象を指定することです。「web-server タグが付いた VM に対して 443 を開ける」という書き方をします。
押さえておきたい性質が3つあります。
VPC ネットワークに紐づく。ネットワークタグはインスタンスの全ネットワークインターフェースに適用されますが、意味を持つのはそのインターフェースが接続している VPC ネットワークの中だけです。ドキュメントは VPC ネットワークピアリングについて明示しています。
A network tag only applies to the VPC networks that are directly attached to the instance's network interfaces. This is true even for VPC Network Peering, because peered networks remain distinct networks.
ピアリングしていても別ネットワークなので、相手側のファイアウォールルールでこちらのタグを指定することはできません。
ネットワークをまたいで一意である必要もありません。同じ文字列を別のネットワークで別の意味に使えます。便利な反面、命名が衝突していても気づきません。
アクセス制御がない。文字列を書き換えられる権限さえあれば誰でも付け外しできます。VM のタグを変えるだけでファイアウォールの適用対象が変わるので、権限設計では注意が要ります。
命名規則は小文字英字で始まり、小文字英字・数字・ハイフンが使え、末尾は小文字英字か数字です。
セキュアタグ：2つの交差点
ここが混乱の原因になりやすい部分です。Cloud Next Generation Firewall は、2種類のタグを扱います。
Cloud NGFW supports two types of tags:
- Identity and Access Management (IAM)-governed tags, also referred to as secure tags, are created and managed in Resource Manager as tag keys and tag values.
- Network tags are character strings without access controls
セキュアタグは新しい概念ではなく、Resource Manager のタグをファイアウォール用途に設定したものです。タグキーに purpose 属性として GCE_FIREWALL を設定し、purpose-data でどの VPC ネットワークを対象にするかを指定します。purpose-data には特定のネットワークか、組織内の全ネットワークを表す organization=auto を書けます。
注意点として、purpose と purpose-data はタグキーの作成後に変更できません。後から用途を変えたくなったら作り直しになります。
使える場所も違います。
| セキュアタグ | ネットワークタグ | |
|---|---|---|
| VPC ファイアウォールルール | 記載なし | 使える |
| 階層型ファイアウォールポリシー | 使える | 使えない |
| グローバル・リージョナルのネットワークファイアウォールポリシー | 使える | 使えない |
| アクセス制御 | IAM で管理 | なし |
ドキュメントはセキュアタグについて、階層型・グローバル・リージョナルのファイアウォールポリシーで使えると挙げています。従来の VPC ファイアウォールルールについては言及がないので、表では「記載なし」としました。一方でネットワークタグは、階層型ファイアウォールポリシーのルールでは使えないと明記されています。組織全体でファイアウォールを統制したいなら、セキュアタグを選ぶことになります。逆に、既存の VPC ファイアウォールルールを触っているだけならネットワークタグのままで動きます。
タグキーあたりのタグ値は最大1,000個までです。
セマンティックタグ
プレビュー段階のものが増えています。セマンティックタグは OpenTelemetry の規約に沿った標準的な意味を持つ key-value で、App Hub と組み合わせて使います。
App Hub でサービスやワークロードに Environment や Criticality を設定すると、その属性が配下のリソースに読み取り専用のシステムタグとして自動的に複製されます。名前空間は google:AppHub で、google:AppHub/environment に PRODUCTION や STAGING、google:AppHub/criticality に MISSION_CRITICAL や HIGH といった値が入ります。
読み取り専用なので、Tags API やコンソールから直接編集できません。管理は App Hub 側で行います。
いまのところ App Hub を使っていなければ関係のない話ですが、「タグと名の付くものがまた増えた」という点は頭の隅に置いておくといいと思います。
どれを使うか
目的から引くとこうなります。
| やりたいこと | 使うもの |
|---|---|
| コストをチームや環境ごとに按分したい | ラベル |
| 本番リソースへの操作を条件付きで拒否したい | タグ |
| 組織ポリシーを一部のリソースだけ緩めたい | タグ |
| 特定の VM 群にファイアウォールルールを当てたい（既存の VPC ルール） | ネットワークタグ |
| 組織横断でファイアウォールを統制したい | セキュアタグ |
| リソースを検索・分類したいだけ | ラベル |
迷ったときの目安として、権限やポリシーが絡むならタグ、絡まないならラベルと考えると外しにくいです。ラベルはポリシーから参照できないので、そこを期待して設計すると後で作り直しになります。
なお、Resource Manager のタグのドキュメントには次の注意書きがあります。
Caution: Existing labels and network tags continue to be supported for the purposes of extensibility and automation.
既存のラベルとネットワークタグは引き続きサポートされる、という書き方です。廃止の予告ではありませんが、新しい制御の仕組みがタグ側に寄せられているのは確かなので、これから設計するものはタグを前提に考えておくほうが無難だと思います。
まとめ
- ラベルは課金と分類のためのもの。事前定義が要らず手軽だが、ポリシーからは参照できない
- タグは IAM と組織ポリシーの条件に書くためのもの。キーと値を先に定義する必要があり、階層で継承される
- ネットワークタグは key-value ですらないただの文字列。VPC ファイアウォールルールとルートで使い、アクセス制御がない
- セキュアタグは独立した機能ではなく、Resource Manager のタグに
purpose=GCE_FIREWALLを設定したもの。新しいファイアウォールポリシーではこちらを使う - セマンティックタグはプレビュー。App Hub の属性が読み取り専用で複製される
- 権限やポリシーが絡むならタグ、絡まないならラベル
名前が似ているだけで、成り立ちも使える場所も違います。特に「ラベルで権限を制御する」ことはできないので、設計の初期に選び間違えると作り直しになります。
出典
- タグの概要とラベルとの比較、セマンティックタグ：
https://cloud.google.com/resource-manager/docs/tags/tags-overview - ラベルの概要と要件：
https://cloud.google.com/resource-manager/docs/labels-overview - ネットワークタグの追加と削除：
https://cloud.google.com/vpc/docs/add-remove-network-tags - ファイアウォールで使うタグ（セキュアタグとネットワークタグ）：
https://cloud.google.com/firewall/docs/tags-firewalls-overview