标记可让您为资源创建注解，在某些情况下，可以根据资源是否有特定标记，有条件地允许或拒绝政策。每项服务使用的资源和政策都以不同的方式使用标记。如需详细了解标记，请参阅标记概览。
某些服务（例如 Identity and Access Management (IAM)）是支持按标记进行引用的政策引擎。如果您可以将标记附加到服务资源，并且政策引擎服务支持该资源，则可以利用政策的条件强制执行来更好地控制资源层次结构。每项政策引擎服务都会在政策引擎服务部分列出其支持的资源。
未列为受政策引擎服务明确支持的资源无法直接作为目标资源，以有条件地强制执行政策。相反，应标记父级项目、文件夹或组织资源以提供条件控制。
在将标记附加到服务资源时，请查看相应部分。 如需了解详情，请参阅创建和管理标记。
政策引擎服务
以下服务包括可包含标记的政策。通过在这些政策中引用标记，您可以微调这些政策在 Google Cloud 资源层次结构中对受支持资源的操作方式。
| Google Cloud 服务 | 资源类型 |
|---|---|
| Cloud Billing | |
| Identity and Access Management (IAM) | |
| Organization Policy Service | |
| Cloud Next Generation Firewall |
以下各部分介绍了如何将标记与政策引擎服务搭配使用。
Identity and Access Management
您可以根据资源是否具有特定标记来有条件地授予 IAM 角色或有条件地拒绝 IAM 权限。
资源会从其父级组织、文件夹和项目中继承标记值。因此，您可以使用标记来管理对任何 Google Cloud 资源的访问权限。
如需详细了解如何将标记与 IAM 搭配使用来帮助控制对 Google Cloud 资源的访问权限，请参阅标记和访问权限控制。
Organization Policy Service
您可以使用带有标记的组织政策来控制如何对特定资源应用组织政策限制条件。通过引用附加到受支持的资源的标记，可以有条件地强制执行使用受管理限制条件和自定义限制条件的组织政策。
大多数旧版托管式限制都不能包含涉及附加到服务资源的标记的条件。如需查看支持对附加到服务资源的标记设置条件的旧版托管式限制条件的列表，请参阅使用标记限定组织政策的范围。
Cloud Next Generation Firewall
您可以使用标记在网络防火墙政策和区域防火墙政策中定义来源和目标。如需了解详情，请参阅使用安全标记管理虚拟机流量。
Cloud Billing
Cloud Billing 导出到 BigQuery 的数据包含资源从其父项目、文件夹和组织继承的标记。除了继承的标记之外，资源级标记仅针对 Compute Engine 实例、Spanner 实例和 Artifact Registry 代码库报告。
支持的服务资源
您可以将标记附加到以下类型的 Google Cloud 资源：