What are tag policies? - Resource Management: Central de Documentação do Alibaba Cloud

Cenários

À medida que os recursos cloud crescem, as tags permitem categorização, alocação de custos e O&M automatizada. No entanto, os usuários frequentemente esquecem de anexar tags, anexam tags incompletas ou digitam valores de tag incorretamente — causando falhas na alocação de custos e no gerenciamento automatizado. As políticas de tag tratam esses cenários:

Bloqueio preventivo de tags não compatíveis

Garanta a conformidade de tags no momento da criação do recurso. O recurso de bloqueio preventivo assegura que tags compatíveis sejam anexadas durante a criação dos recursos.

Por padrão, esse recurso valida apenas tags definidas na política. Com a validação forte ativada, ele também bloqueia recursos sem tags ou com tags fora da política.

Use a tag policy to pre-emptively block non-compliant tags.
Detecção automática de tags

Após a criação do recurso, as políticas de tag monitoram alterações nos recursos e identificam tags não compatíveis nos seguintes casos:
- As tags anexadas ao recurso não estão padronizadas.
- O recurso não possui as tags especificadas anexadas.
A detecção automática identifica problemas de conformidade de forma precoce e abrangente.

Use a tag policy for automatic tag detection.
Correção automática de tags

Quando a detecção automática encontra tags não compatíveis e a regra suporta correção automática, a política de tag corrige as tags sem intervenção manual.

Use a tag policy for automatic tag remediation.
Herança automática de tags de grupos de recursos para os recursos do grupo

Os recursos criados em um grupo de recursos ou adicionados a ele herdam automaticamente as tags do grupo.

Use a tag policy for automatic tag inheritance based on resource groups.

Como funciona

As políticas de tag garantem a conformidade desde a criação do recurso (preventiva) até o monitoramento contínuo (pós-evento).

Bloqueio preventivo

Ao criar um recurso ou anexar tags, a política de tag verifica a conformidade. Operações não compatíveis são bloqueadas.
Detecção e correção pós-evento

Os recursos existentes passam por verificação de conformidade de tags. Tags não compatíveis podem ser corrigidas manualmente ou por meio de correção automática.

Modos de política de tag

O Tag Policy suporta o modo de conta única e o modo de diretório de recursos. Escolha um modo de acordo com seu cenário e tipo de conta.

Cenário	Tipo da conta de login	Modo do recurso Tag Policy	Referências
Você gerencia recursos cloud com uma única conta Alibaba Cloud e seus usuários RAM. Ative o Tag Policy no modo de conta única para controlar as operações de tag da conta e de seus usuários RAM.	Conta Alibaba Cloud que não é a conta de gerenciamento nem membro de um diretório de recursos	Modo de conta única: controla as operações de tag de uma conta Alibaba Cloud e seus usuários RAM.	Enable single-account mode with an Alibaba Cloud account
Você utiliza um resource directory para gerenciar todas as suas contas. Use a conta de gerenciamento para ativar o Tag Policy no modo de diretório de recursos e controlar as operações de tag em todos os membros.	Conta de gerenciamento de um diretório de recursos	Você pode ativar um ou ambos os modos conforme suas necessidades. Modo de diretório de recursos: controla as operações de tag de todos os membros no diretório de recursos. Importante Se algum membro já tiver ativado o Tag Policy no modo de conta única, a conta de gerenciamento não poderá ativar o modo de diretório de recursos. Desative primeiro o modo de conta única nesse membro. Modo de conta única: controla as operações de tag apenas para a conta de gerenciamento.	Enable resource directory mode with the management account
	Membro de um diretório de recursos	O comportamento depende de o Tag Policy estar ativado para o diretório de recursos: Se o Tag Policy não estiver ativado para o diretório de recursos, o membro pode ativar o modo de conta única para controlar suas próprias operações de tag. Se o Tag Policy estiver ativado para o diretório de recursos, o membro não poderá ativar o modo de conta única. As políticas de tag são gerenciadas centralmente pela conta de gerenciamento. O membro pode apenas visualizar sua política efetiva.	Enable single-account mode with a directory member

Limites

Limitações	Especificação
Máximo de políticas de tag por conta	100
Máximo de políticas de tag por diretório de recursos	100
Comprimento máximo da política de tag	2.048 caracteres
Tempo de ativação do bloqueio preventivo	Entra em vigor em até 5 minutos após ser anexado a um destino. Entra em vigor em até 5 minutos após a modificação do conteúdo da política.
Tempo de ativação da detecção automática	Acionada em até 1 hora após a política ser anexada. Acionada em até 10 minutos após a criação de um recurso na conta de destino. Acionada em tempo real quando um recurso na conta de destino sofre alteração. Após a modificação do conteúdo da política, uma verificação completa é executada na conta de destino. A duração depende da quantidade de recursos.
Tempo de ativação da correção automática	Inicia em até 10 minutos após a detecção de um recurso não compatível.

Práticas recomendadas

Services da Alibaba Cloud compatíveis com políticas de tag

Service da Alibaba Cloud	Código do service	Tipo de recurso	Suporta detecção e correção automática de tags	Suporta herança automática de tags de grupos de recursos	APIs com suporte ao recurso de bloqueio preemptivo padrão^①	APIs com suporte ao recurso de bloqueio preemptivo com validação forte^②
Elastic Computing Service	ecs	instance	Yes	Yes	RunInstances	RunInstances
					CreateInstance	CreateInstance
					TagResources	Nenhuma
		eni	Yes	Não	CreateNetworkInterface	CreateNetworkInterface
		eni	Yes	Não	TagResources	Nenhuma
		securitygroup	Yes	Yes	CreateSecurityGroup	CreateSecurityGroup
		securitygroup	Yes	Yes	TagResources	Nenhuma
		disk	Yes	Yes	CreateDisk	CreateDisk
		disk	Yes	Yes	TagResources	Nenhuma
		snapshot	Yes	Não	CreateSnapshot	CreateSnapshot
		snapshot	Yes	Não	TagResources	Nenhuma
		ddh	Yes	Yes	AllocateDedicatedHosts	AllocateDedicatedHosts
		ddh	Yes	Yes	TagResources	Nenhuma
		image	Não	Não	CreateImage	CreateImage
					CopyImage	Nenhuma
					TagResources	Nenhuma
		keypair	Não	Não	ImportKeyPair	ImportKeyPair
					CreateKeyPair	CreateKeyPair
					TagResources	Nenhuma
		launchtemplate	Yes	Yes	CreateLaunchTemplate	CreateLaunchTemplate
		launchtemplate	Yes	Yes	TagResources	Nenhuma
		snapshotpolicy	Não	Não	CreateAutoSnapshotPolicy	CreateAutoSnapshotPolicy
ApsaraDB RDS	rds	instance	Yes	Yes	CreateDBInstance	Nenhuma
ApsaraDB RDS	rds	instance	Yes	Yes	TagResources	Nenhuma
Server Load Balancer	slb	instance	Yes	Yes	TagResources	Nenhuma
		certificate	Não	Não	TagResources	Nenhuma
		acl	Não	Não	TagResources	Nenhuma
Application Load Balancer	alb	acl	Não	Não	Add tags to a resource	Nenhuma
		loadbalancer	Não	Não	Add tags to a resource	Nenhuma
		securitypolicy	Não	Não	Add tags to a resource	Nenhuma
		servergroup	Não	Não	Add tags to a resource	Nenhuma
virtual private cloud	vpc	vpc	Yes	Yes	TagResources	Nenhuma
		vswitch	Yes	Não	TagResources	Nenhuma
		routetable	Yes	Não	TagResources	Nenhuma
NAT Gateway	vpc	natgateway	Yes	Yes	TagResources	Nenhuma
VPN Gateway	vpc	vpngateway	Não	Não	TagResources	Nenhuma
Internet Shared Bandwidth	vpc	commonbandwidthpackage	Não	Não	TagResources	Nenhuma
Elastic IP Address	vpc	eip	Yes	Yes	TagResources	Nenhuma
Cloud Enterprise Network (CEN)	cen	cen	Yes	Yes	TagResources	Nenhuma
Cloud Enterprise Network (CEN)	cen	bandwidthpackage	Não	Não	TagResources	Nenhuma
CDN	cdn	domain	Yes	Yes	Nenhuma	Nenhuma
Object Storage Service	oss	bucket	Yes	Yes	Nenhuma	Nenhuma
ApsaraDB for Tair (Redis®-compatible)	kvstore	instance	Yes	Yes	CreateInstance - Create an instance	Nenhuma
ApsaraDB for Tair (Redis®-compatible)	kvstore	instance	Yes	Yes	TagResources - Attach tags to one or more instances	Nenhuma
ApsaraDB for MongoDB	dds	instance	Yes	Yes	TagResources	Nenhuma
ApsaraDB for HBase	multimod	cluster	Yes	Yes	TagResources	Nenhuma
PolarDB	polardb	cluster	Yes	Yes	Nenhuma	Nenhuma
File Storage NAS	nas	filesystem	Yes	Yes	Nenhuma	Nenhuma
Anti-DDoS	ddoscoo	instance	Yes	Yes	Attach tags to a specified resource	Nenhuma
Anti-DDoS	ddoscoo	instance	Yes	Yes	Associate tags with a resource	Nenhuma
container service	cs	cluster	Yes	Yes	Nenhuma	Nenhuma
API Gateway	apigateway	api	Yes	Yes	Nenhuma	Nenhuma
API Gateway	apigateway	apigroup	Yes

Observação:

^①O bloqueio preventivo abrange dois cenários: criação de recursos e vinculação de tags. O suporte varia conforme o service, o tipo de recurso e a API. Por exemplo, para instâncias ECS, CreateInstance bloqueia tags não conformes durante a criação, enquanto TagResources as bloqueia durante a vinculação de tags.

^②O recurso de validação forte para bloqueio preventivo precisa ser ativado manualmente. Strong validation feature.