Organize servidores Tailscale com tags

Uma tag representa uma função de serviço, como servidor de aplicações. Aplicar uma tag muda a identidade do dispositivo: ele deixa de usar a identidade pessoal do usuário para a autorização de rede.

Declare os responsáveis

No arquivo de política, defina os administradores autorizados a atribuir a tag. Este fragmento autoriza administradores a aplicar tag:servidor:

1
{
2
  "tagOwners": {
3
    "tag:servidor": ["autogroup:admin"]
4
  }
5
}

Integre a seção à política existente e valide no painel. Ser responsável por atribuir uma tag não concede automaticamente acesso ao servidor que recebe essa tag.

Prepare as permissões

Crie grants com o destino tag:servidor e com as portas necessárias. Se o dispositivo utiliza Tailscale SSH, confira também a política SSH. Permissões destinadas a autogroup:self podem deixar de atender o dispositivo depois da mudança de identidade.

Planeje a conferência da identidade

Uma tag identifica a função do dispositivo para o controle de acesso. Ela não é apenas um rótulo de organização no painel. Ao aplicá-la, você deve conferir as permissões que dependiam da identidade pessoal anterior.

Comece descrevendo o uso do servidor: por exemplo, receber SSH de um grupo administrativo e servir uma aplicação em HTTPS para outro grupo. Traduza esses acessos em origens, destino com tag e portas. A autorização para atribuir a tag não concede automaticamente acesso aos serviços da máquina.

Depois da atribuição, abra uma nova conexão pela identidade autorizada e repita o teste com uma identidade excluída. Mantenha o console disponível até terminar. Se o servidor receber várias tags, examine as permissões aplicáveis a todas elas. Uma tag adicional pode ampliar os acessos.

Confira também a configuração de expiração da chave do dispositivo no painel. Essa preferência deve corresponder à manutenção prevista para o servidor. Não presuma que ela permaneceu igual à de um notebook pessoal usado no primeiro exercício.

Aplique no servidor

No painel Machines, selecione o dispositivo e use a opção de editar tags. Atribua somente a tag prevista. Em automação, uma auth key pode associar a tag durante o registro, conforme as permissões configuradas.

Use esse modelo para servidores e serviços. Para notebook e celular de uso pessoal, mantenha a identidade do usuário quando ela representa corretamente o uso.

Confira após a mudança

Registre os acessos conferidos e a configuração de expiração encontrada no painel. Consulte a documentação de tags antes de planejar a próxima reautenticação do servidor.

Se a conexão falhar, confira se a política ainda aponta para a identidade anterior. Preserve um acesso de recuperação antes de migrar a identidade de um servidor remoto.