タグポリシーによる非準拠タグの事前インターセプトの実装 - Resource Management

タグポリシーを使用して非準拠タグを事前にインターセプトすることで、タグ付け操作を標準化できます。

ユースケース

强制标签

ユースケース 1：リソース作成時のタグのインターセプト

デフォルト機能

リソースを作成する際に、準拠したタグキーと非準拠のタグ値を持つタグをアタッチすると、タグポリシーが操作をインターセプトするため、リソースの作成は失敗します。

たとえば、タグポリシーですべての新しい ECS インスタンスに CostCenter:Beijing というタグの付与が要求されている場合、ECS インスタンスを作成する際に CostCenter:beijing や CostCenter:Shenzhen などの非準拠タグの アタッチ を試みると、ECS インスタンスの作成は失敗します。

サポートされているリソースタイプと API 操作のリストについては、タグポリシーをサポートするクラウドサービスの [デフォルトの事前インターセプト機能をサポートする API 操作] 列をご参照ください。

強力な検証

必須タグをアタッチせずにリソースを作成すると、タグポリシーが操作をインターセプトするため、リソースの作成は失敗します。

たとえば、タグポリシーですべての新しい ECS インスタンスに CostCenter:Beijing というタグの付与が要求されている場合、インスタンスを作成する際に必須タグ CostCenter:Beijing を アタッチしない 場合、ECS インスタンスの作成は失敗します。これは、タグを一切アタッチしない場合でも、他の非準拠タグをアタッチした場合でも適用されます。

強力な検証機能はデフォルトで無効になっており、手動で有効にする必要があります。リソースディレクトリで有効にすると、この機能はすべてのメンバーに適用されます。

Tag コンソールにログインします。タグポリシー > 設定ページで、リソースディレクトリまたは現在のアカウントに対して強力な検証機能を手動で有効化または無効化できます。

サポートされているリソースタイプと API 操作のリストについては、タグポリシーをサポートするクラウドサービスの [強力な検証機能をサポートする API 操作] 列をご参照ください。

ユースケース 2：既存リソースへのタグ付けのインターセプト

既存のリソースにタグを付与する際、システムはアタッチされているタグポリシーに照らしてタグを検証します。タグが準拠している場合のみアタッチされ、準拠していない場合は操作が失敗します。

ベストプラクティス

事前インターセプトを有効にすると、リソースのプロビジョニングに影響を与える可能性があります。本番アカウントに適用する前に、非本番アカウントでこの機能を十分にテストすることを推奨します。
事前インターセプトを使用したタグポリシーは、他のクラウドサービスに影響を与える可能性があります。たとえば、ECS インスタンスにタグポリシーを適用した場合、Auto Scaling や Container Service for Kubernetes (ACK) のスケーリング操作が、新しいインスタンスに準拠したタグをアタッチできないために失敗する可能性があります。この機能を使用する前に、関連するすべてのサービスが準拠したタグ付け操作を実行できることを確認してください。

手順

事前インターセプトは、現在のアカウントまたはリソースディレクトリ内のメンバーによる非準拠のタグ付け操作をブロックできます。このセクションでは、リソースディレクトリでタグポリシーを使用する例を示します。管理アカウントは、すべてのメンバーが ECS インスタンスを作成する際に特定のコストセンタータグをアタッチすることを要求するタグポリシーを有効にします。タグキーは CostCenter である必要があり、タグ値は Beijing または Shanghai である必要があります。タグが準拠している場合、ECS インスタンスが作成されます。準拠していない場合、作成は失敗します。

セキュリティのベストプラクティスとして、リソースディレクトリの管理アカウント内に RAM ユーザーを作成し、AdministratorAccess 権限を付与して、この RAM ユーザーをリソースディレクトリ管理者として使用します。以下の手順は、リソースディレクトリ管理者が実行します。RAM ユーザーの作成と権限付与の詳細については、「RAM ユーザーの作成」および「RAM ユーザー権限の管理」をご参照ください。

タグコンソールにログインします。
タグポリシーを有効にします。

詳細については、「タグポリシーの有効化」をご参照ください。
タグポリシーを作成します。
1. ポリシーライブラリ ページの リソースディレクトリポリシー タブで、タグポリシーの作成 をクリックします。
2. ポリシー名を入力します。
3. ポリシーの説明を入力します。
4. クイックエントリー モードでポリシーを設定します。
  1. ポリシーシナリオをリソースに指定されたタグ値を関連付けるに設定します。
  2. タグキーテキストボックスに、CostCenter を入力します。
  3. 許可されるタグ値を入力します。
    
    複数のタグ値を追加するには、値を改行して入力します。この例では、Beijing と Shanghai を追加します。
  4. 事前ブロック を選択し、次に [リソースタイプを指定] をクリックします。
  5. [イベント発生前インターセプトのスコープを指定] ダイアログボックスで、イベント発生前インターセプトのリスクを読み、確認し、リソースタイプを ECS インスタンスに設定して、OK をクリックします。
5. 作成をクリックします。
タグポリシーをバインドします。
1. タグポリシーリストで、ステップ 3 で作成したタグポリシーを見つけ、操作列で 関連付け をクリックします。
2. 関連付け ダイアログボックスでバインディングターゲットを選択し、OK をクリックします。
  ポリシーのスコープは、アタッチ先によって異なります。テストの場合は、まず単一のメンバーにポリシーをバインドします。ポリシーが正しく機能することを確認した後、ルートフォルダーまたは特定のフォルダーにバインドします。
  - ルートフォルダー：タグポリシーは、リソースディレクトリ全体のすべてのメンバーに適用されます。
  - 特定のフォルダー：タグポリシーは、指定されたフォルダー内のすべてのメンバーにのみ適用されます。
  - 特定のメンバー：タグポリシーは、指定されたメンバーにのみ適用されます。
タグポリシーが有効であることを確認します。
1. 手順 4 でアタッチしたメンバーとして Alibaba Cloud 管理コンソールにログインします。
  
  詳細については、「メンバーとして Alibaba Cloud 管理コンソールにログインする」をご参照ください。
2. メンバーの Alibaba Cloud 管理コンソールで、ECS インスタンスを作成し、タグポリシーが有効であることを確認します。
  - 成功
    
    インスタンスに CostCenter:Beijing または CostCenter:Shanghai のタグをアタッチした場合、ECS インスタンスが作成されます。
  - 失敗
    
    デフォルトでは、ポリシーはタグポリシーで指定されたタグにのみ適用されます。以下の場合、インスタンスの作成は失敗します。
    - タグキーまたはタグ値の大文字・小文字が正しくない場合。例： costCenter:beijing
    - タグキー CostCenter が指定されているが、タグ値が欠落しているか無効な場合。
    強力な検証が有効になっている場合、タグがアタッチされていない場合や他のタグがアタッチされている場合も、インスタンスの作成は失敗します。

エラーコード

エラーコード	メッセージ例	説明
Forbidden.TagPolicy	The operation is failure, because the valid tag policy values of 'TagValue' are ["red","green","orange","blue","pink","white","black","grey"], but the value is "xxx".	タグキーは準拠していますが、タグ値が非準拠のため、リソースの作成は失敗します。タグポリシーの `TagValue` で指定されたタグ値を入力してください。
	The operation is failure, because the valid tag policy values of 'TagKey' are ["colorful"], but the value is "colorFul".	タグキーの大文字・小文字が正しくないため、リソースの作成は失敗します。タグポリシーの `TagKey` と同じ大文字・小文字のタグキーを入力してください。
	The operation is failure, because the tag policy keys ["color"] are necessary.	タグキー `color` が欠落しているため、タグが非準拠となり、リソースの作成は失敗します。タグポリシーで要求されている `color` のタグを入力してください。