Enable tag policy | Resource Management - Resource Management: Central de Documentação do Alibaba Cloud

Ative a Tag Policy para aplicar regras de tags consistentes em sua conta Alibaba Cloud ou resource directory.

Informações básicas

Modos da Tag Policy

A Tag Policy oferece suporte aos modos de conta única e de resource directory. Escolha o modo adequado ao seu cenário e tipo de conta.

Cenário	Tipo de conta de logon	Modo do recurso Tag Policy	Referências
Gerenciamento de recursos cloud com uma única conta Alibaba Cloud e seus usuários RAM. Ative a Tag Policy no modo de conta única para governar as operações de tags dessa conta e de seus usuários RAM.	Conta Alibaba Cloud que não é a conta de gerenciamento nem membro de um resource directory	Modo de conta única: Governa as operações de tags de uma conta Alibaba Cloud e seus usuários RAM.	Ativar o modo de conta única com uma conta Alibaba Cloud
Uso de um resource directory para gerenciar todas as contas. Utilize a conta de gerenciamento para ativar a Tag Policy no modo de resource directory e governar as operações de tags em todos os membros.	Conta de gerenciamento de um resource directory	Ative um ou ambos os modos conforme suas necessidades. Modo de resource directory: Governa as operações de tags de todos os membros do resource directory. Importante Se algum membro tiver ativado a Tag Policy no modo de conta única, a conta de gerenciamento não poderá ativar o modo de resource directory. Desative primeiro o modo de conta única nesse membro. Modo de conta única: Governa as operações de tags apenas da conta de gerenciamento.	Ativar o modo de resource directory com a conta de gerenciamento
	Membro de um resource directory	O comportamento depende da ativação da Tag Policy no resource directory: Sem a Tag Policy ativada no resource directory, o membro pode ativar o modo de conta única para governar suas próprias operações de tags. Com a Tag Policy ativada no resource directory, o membro não pode ativar o modo de conta única. A conta de gerenciamento administra as políticas de tags centralizadamente. O membro visualiza apenas sua política efetiva.	Ativar o modo de conta única com um membro do diretório

Permissões do RAM

Recomendamos usar um usuário RAM para ativar a Tag Policy.

Modo de conta única: Anexe a seguinte política personalizada a um usuário RAM na sua conta Alibaba Cloud.

{
    "Version": "1",
    "Statement": [
        {
            "Action": [
              "tag:GetConfigRuleReport",
              "tag:GenerateConfigRuleReport",
              "tag:GetEffectivePolicy",
              "tag:ListConfigRulesForTarget",
              "tag:ListPoliciesForTarget",
              "tag:ListTargetsForPolicy",
              "tag:ListPolicies",
              "tag:GetPolicy",
              "tag:GetPolicyEnableStatus",
              "tag:DetachPolicy",
              "tag:DeletePolicy",
              "tag:ModifyPolicy",
              "tag:AttachPolicy",
              "tag:CreatePolicy",
              "tag:DisablePolicyType",
              "tag:EnablePolicyType",
              "tag:ListSupportResourceTypes"
            ],
            "Resource": "*",
            "Effect": "Allow"
        },
        {
            "Action": [
                "rd:ListAccountsForParent",
                "rd:ListFoldersForParent",
                "rd:GetResourceDirectory",
                "config:GetAggregateResourceComplianceByConfigRule",
                "config:ListAggregateConfigRuleEvaluationResults",
                "config:GetAggregateConfigRulesReport",
                "config:GetResourceComplianceGroupByRegion",
                "config:ListConfigRuleEvaluationResults",
                "config:GetConfigRulesReport",
                "config:ListRemediations",
                "oos:ListExecutions"
            ],
            "Resource": "*",
            "Effect": "Allow"
        },
        {
            "Action": "ram:CreateServiceLinkedRole",
            "Resource": "*",
            "Effect": "Allow",
            "Condition": {
              "StringEquals": {
                "ram:ServiceName": "tag.aliyuncs.com"
               }
            }
        }
    ]
}

Modo de resource directory: Anexe a política AliyunResourceDirectoryFullAccess e a política personalizada anterior a um usuário RAM na conta de gerenciamento do seu resource directory.

Criar uma política personalizada e Conceder permissões ao usuário RAM.

Ativar o modo de conta única com uma conta Alibaba Cloud

Utilize uma conta Alibaba Cloud que não seja a conta de gerenciamento nem membro de um resource directory.

Faça logon no console Resource Management.
No painel de navegação à esquerda, escolha Tag Policy > Settings.
Na aba Settings for Current Account, defina Tag Policy como Enable.
Na caixa de diálogo Enable Tag Policy, clique em Enable.

A ativação da Tag Policy cria a função vinculada a service service-linked role AliyunServiceRoleForTag para acesso entre serviços.

Ativar o modo de resource directory com a conta de gerenciamento

Utilize a conta de gerenciamento de um resource directory. Esse modo entra em vigor para todos os membros, exceto para a própria conta de gerenciamento.

Faça logon no console Resource Management.
No painel de navegação à esquerda, escolha Tag Policy > Settings.
Na aba Settings for Resource Directory, defina Tag Policy como Enable.

Nota
A conta de gerenciamento também pode ativar uma política de tags para si mesma na aba Settings for Current Account.
Na caixa de diálogo Enable Tag Policy, clique em Enable.

A ativação da Tag Policy cria a função vinculada a service service-linked role AliyunServiceRoleForTag para acesso entre serviços.

Ativar o modo de conta única com um membro do diretório

Se a Tag Policy não estiver ativada para o resource directory, um membro poderá ativar o modo de conta única. Esse modo aplica-se apenas a esse membro.

Use um membro de um resource directory para fazer logon no Alibaba Cloud Management Console.

Usar um membro para fazer logon no Alibaba Cloud Management Console.
Faça logon no console Resource Management.
No painel de navegação à esquerda, escolha Tag Policy > Settings.
Na aba Settings for Current Account, defina Tag Policy como Enable.
Na caixa de diálogo Enable Tag Policy, clique em Enable.

A ativação da Tag Policy cria a função vinculada a service service-linked role AliyunServiceRoleForTag para acesso entre serviços.