翻訳は機械翻訳により提供されています。提供された翻訳内容と英語版の間で齟齬、不一致または矛盾がある場合、英語版が優先します。

AWS Organizations – タグポリシー

のポリシー AWS Organizations を使用すると、組織内の に追加 AWS アカウント タイプのガバナンスを適用できます。タグポリシーは、タグ付けスキーマを JSON 形式で表現して、プラットフォームが AWS 環境内でスキーマをレポートし、オプションで適用できるようにする方法です。タグポリシーでは、特定のリソースタイプのタグキーに使用できる値を定義します。このポリシーは、値のリストでも、プレフィックスにワイルドカード文字 (*) が続く形式でもかまいません。単純なプレフィックス方式は、個別値のリストほど厳密ではありませんが、メンテナンスは少なくて済みます。

以下の例は、タグ付けポリシーを定義して特定のキーに許容される値を検証する方法を示したものです。わかりやすい表形式のスキーマの定義に基づいて、この情報を 1 つ以上のタグポリシーに転記できます。所有権の委任をサポートするために個別のポリシーを使用することもでき、また特定のシナリオにのみ適用されるポリシーもあります。

ExampleInc-CostAllocation.json

次に、コスト配分タグのレポートを行うタグポリシーの例を示します。

{
  "tags": {
    "example-inc:cost-allocation:ApplicationId": {
      "tag_key": {
        "@@assign": "example-inc:cost-allocation:ApplicationId"
      },
      "tag_value": {
        "@@assign": [
          "DataLakeX",
          "RetailSiteX"
        ]
      }
    },
    "example-inc:cost-allocation:BusinessUnitId": {
      "tag_key": {
        "@@assign": "example-inc:cost-allocation:BusinessUnitId"
      },
      "tag_value": {
        "@@assign": [
          "Architecture",
          "DevOps",
          "FinanceDataLakeX"
        ]
      }
    },
    "example-inc:cost-allocation:CostCenter": {
      "tag_key": {
        "@@assign": "example-inc:cost-allocation:CostCenter"
      },
      "tag_value": {
        "@@assign": [
          "123-*"
        ]
      }
    }
  }
}

ExampleInc-DisasterRecovery.json

次に、ディザスタリカバリのレポートを行うタグポリシーの例を示します。

{
    "tags": {
        "example-inc:disaster-recovery:rpo": {
            "tag_key": {
                "@@assign": "example-inc:disaster-recovery:rpo"
            },
            "tag_value": {
                "@@assign": [
                    "6h",
                    "24h"
                ]
            }
        }        
    }
}

この例では、ExampleInc-CostAllocation タグポリシーは Workloads OU にアタッチされているため、その Prod と子 OU Test の両方のすべてのアカウントに適用されます。同様に、ExampleInc-DisasterRecovery タグポリシーは Prod OU にアタッチされているため、この OU の下位のアカウントにのみ適用されます。『複数のアカウントによる環境の整理』ホワイトペーパーでは、推奨される OU 構造について詳しく説明しています。

図の marketing-prod アカウントを見ると、両方のタグポリシーがこのアカウントに適用されるため、効果的なポリシーを考えました。それは、1 つのアカウントに適用される所定のタイプのポリシーのコンボリューションです。リソースを主に手動で管理している場合は、コンソールの Resource Groups & Tag Editor: タグポリシー にアクセスして有効なポリシーを確認できます。Infrastructure as Code (IaC) またはスクリプトでリソースを管理している場合は、AWS::Organizations::DescribeEffectivePolicy API 呼び出しを使用できます。