AWS a déplacé la fonctionnalité de gestion des balises Tag Editor de la AWS Resource Groups console vers la Explorateur de ressources AWS console. Avec Resource Explorer, vous pouvez rechercher et filtrer des ressources, puis gérer les balises de ressources à partir d'une console unique. Pour en savoir plus sur la gestion des balises de ressources dans l'explorateur de ressources, consultez la section Gestion des ressources dans le guide de l'utilisateur de l'explorateur de ressources.

Les traductions sont fournies par des outils de traduction automatique. En cas de conflit entre le contenu d'une traduction et celui de la version originale en anglais, la version anglaise prévaudra.

AWS Organizations politiques relatives aux balises

Une politique de balises est un type de politique que vous créez dans AWS Organizations. Vous pouvez utiliser les politiques relatives aux balises pour normaliser les balises entre les ressources des comptes de votre organisation. Pour utiliser les politiques de balises, nous vous recommandons de suivre les flux de travail décrits dans la section Commencer à utiliser les politiques de balises du Guide de AWS Organizations l'utilisateur. Comme indiqué sur cette page, les flux de travail recommandés incluent la recherche et la correction des balises non conformes. Pour effectuer ces tâches, vous devez utiliser la console Tag Editor.

Conditions préalables et autorisations

Avant de pouvoir évaluer la conformité aux politiques de balises dans l'éditeur de balises, vous devez satisfaire aux exigences et définir les autorisations nécessaires.

Conditions préalables à l'évaluation de la conformité aux politiques relatives aux balises

L'évaluation de la conformité aux politiques relatives aux balises nécessite les éléments suivants :

Autorisations pour évaluer la conformité d'un compte

La détection de balises non conformes sur les ressources d'un compte nécessite les autorisations suivantes :

L'exemple de politique AWS Identity and Access Management (IAM) suivant fournit des autorisations pour évaluer la conformité des balises d'un compte.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "EvaluateAccountCompliance",
            "Effect": "Allow",
            "Action": [
                "organizations:DescribeEffectivePolicy",
                "tag:GetResources",
                "tag:TagResources",
                "tag:UnTagResources"
            ],
            "Resource": "*"
        }
    ]
}

Pour plus d'informations sur les politiques et les autorisations IAM, consultez le Guide de l'utilisateur IAM.

Autorisations pour évaluer la conformité à l'échelle de l'organisation

L'évaluation de la conformité à l'échelle de l'organisation avec les politiques relatives aux balises nécessite les autorisations suivantes :

Si le compartiment Amazon S3 dans lequel le rapport est livré est chiffré via SSE-KMS, vous devez également disposer de l'kms:GenerateDataKeyautorisation pour ce compartiment.

L'exemple de politique IAM suivant fournit des autorisations pour évaluer la conformité à l'échelle de l'organisation. Remplacez chacune placeholder par vos propres informations :

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "EvaluateAccountCompliance",
            "Effect": "Allow",
            "Action": [
                "organizations:DescribeEffectivePolicy",
                "tag:StartReportCreation",
                "tag:DescribeReportCreation",
                "tag:GetComplianceSummary",
                "s3:ListAllMyBuckets"
            ],
            "Resource": "*"
        },
        {
            "Sid": "GetBucketAclForReportDelivery",
            "Effect": "Allow",
            "Action": "s3:GetBucketAcl",
            "Resource": "arn:aws:s3:::bucket_name",
            "Condition": {
                "StringEquals": {
                    "aws:CalledViaLast": "tagpolicies.tag.amazonaws.com"
                }
            }
        },
        {
            "Sid": "GetObjectForReportDelivery",
            "Effect": "Allow",
            "Action": "s3:GetObject",
            "Resource": "arn:aws:s3:::*/tag-policy-compliance-reports/*",
            "Condition": {
                "StringEquals": {
                    "aws:CalledViaLast": "tagpolicies.tag.amazonaws.com"
                }
            }
        },
        {
            "Sid": "PutObjectForReportDelivery",
            "Effect": "Allow",
            "Action": "s3:PutObject",
            "Resource": "arn:aws:s3:::bucket_name/AwsTagPolicies/organization_id/*",
            "Condition": {
                "StringEquals": {
                    "aws:CalledViaLast": "tagpolicies.tag.amazonaws.com"
                },
                "StringLike": {
                    "s3:x-amz-copy-source": "*/tag-policy-compliance-reports/*"
                }
            }
        }
    ]
}

Pour plus d'informations sur les politiques et les autorisations IAM, consultez le Guide de l'utilisateur IAM.

Politique relative aux compartiments Amazon S3 pour le stockage des rapports

Pour créer un rapport de conformité à l'échelle de l'organisation, l'identité que vous utilisez pour appeler l'StartReportCreationAPI doit avoir accès à un bucket Amazon Simple Storage Service (Amazon S3) dans la région USA Est (Virginie du Nord) pour stocker le rapport. Tag Policies utilise les informations d'identification de l'identité appelante pour transmettre le rapport de conformité au compartiment spécifié.

Si le compartiment et l'identité utilisés pour appeler l'StartReportCreationAPI appartiennent au même compte, des politiques de compartiment Amazon S3 supplémentaires ne sont pas nécessaires pour ce cas d'utilisation.

Si le compte associé à l'identité utilisée pour appeler l'StartReportCreationAPI est différent du compte propriétaire du compartiment Amazon S3, la politique de compartiment suivante doit être attachée au compartiment. Remplacez chacune placeholder par vos propres informations :

{
    "Version": "2012-10-17", 
    "Statement": [ 
        { 
            "Sid": "CrossAccountTagPolicyACL", 
            "Effect": "Allow", 
            "Principal": {
                "AWS": "identity_ARN"
            }, 
            "Action": "s3:GetBucketAcl", 
            "Resource": "arn:aws:s3:::bucket_name"
         }, 
         { 
            "Sid": "CrossAccountTagPolicyBucketDelivery", 
            "Effect": "Allow", 
            "Principal": {
                "AWS": "identity_ARN"
            }, 
            "Action": "s3:PutObject", 
            "Resource": "arn:aws:s3:::bucket_name/AwsTagPolicies/organization_id/*"
         } 
    ] 
}