コンプライアンス違反タグのイベント前インターセプトを有効にする

シナリオ

ベストプラクティス

• コンプライアンス違反タグのイベント前インターセプトを有効にすると、リソースの作成に影響を与える可能性があります。本番環境でコンプライアンス違反タグのイベント前インターセプトを有効にする前に、テストアカウントを使用してテストを実行することをお勧めします。

• クラウドサービスに対してコンプライアンス違反タグのイベント前インターセプトを有効にすると、他のクラウドサービスに影響を与える可能性があります。たとえば、ECS インスタンスに対してコンプライアンス違反タグのイベント前インターセプトを有効にすると、関連する ECS インスタンスに準拠タグが追加されないため、Auto Scaling または Container Service for Kubernetes（ACK）のリソーススケーリングが失敗する可能性があります。コンプライアンス違反タグのイベント前インターセプトを有効にする前に、関連サービスの要件を満たすタグ関連の操作を実行できることを確認してください。

手順

コンプライアンス違反タグのイベント前インターセプトを使用して、現在のアカウント内またはリソースディレクトリのメンバー内のコンプライアンス違反のタグ関連操作をインターセプトできます。この例では、リソースディレクトリの管理アカウントを使用して、リソースディレクトリモードのタグポリシー機能を有効にし、タグポリシーを作成します。タグポリシーは、リソースディレクトリのメンバーを使用して ECS インスタンスを作成するときに、コストセンタタグを ECS インスタンスに追加する必要があることを定義します。コストセンタタグのタグキーは CostCenter で、タグ値は Beijing または Shanghai です。定義されたコストセンタタグがインスタンスに追加されている場合にのみ、ECS インスタンスは正常に作成されます。

セキュリティ上の理由から、リソースディレクトリの管理アカウント内に RAM ユーザーを作成し、AdministratorAccess ポリシーを RAM ユーザーにアタッチしてから、RAM ユーザーをリソースディレクトリの管理者として使用することをお勧めします。 RAM ユーザーを使用して次の操作を実行する必要があります。 RAM ユーザーの作成方法と RAM ユーザーへの権限の付与方法については、「RAM ユーザーを作成する」および「RAM ユーザーに権限を付与する」をご参照ください。

1. リソース管理コンソール にログインします。

2. リソースディレクトリモードのタグポリシー機能を有効にします。

   詳細については、「タグポリシー機能を有効にする」をご参照ください。

3. タグポリシーを作成します。

   1. [リソースディレクトリ] タブの [ポリシーライブラリ] ページで、[タグポリシーの作成] をクリックします。

   2. タグポリシーの作成ページで、[ポリシー名] フィールドにポリシー名を入力します。

   3. ポリシーの説明] フィールドにポリシーの説明を入力します。

   4. [クイックモード] タブでタグポリシーを設定します。

      1. [ポリシーシナリオ] パラメーターで [指定されたタグ値を持つタグをリソースに追加] を選択します。

      2. [タグキー] フィールドに CostCenter と入力します。

      3. [許可されるタグ値を指定] フィールドに 1 つ以上のタグ値を入力します。

         タグキーごとに複数のタグ値を指定できます。各タグ値が 1 行を占めるようにする必要があります。この例では、タグキーに 2 つのタグ値 Beijing と Shanghai が指定されています。

      4. [イベント前インターセプト] を選択し、[リソースタイプの指定] をクリックします。

      5. [イベント前インターセプトのスコープを指定] ダイアログボックスで、イベント前インターセプトのリスクに関するプロンプトメッセージを読み、リスクを受け入れ、[リソースタイプ] 列で [elastic Compute Service] > [インスタンス] を選択し、[OK] をクリックします。

      

   5. [作成] をクリックします。

4. タグポリシーをアタッチします。

   1. ポリシーライブラリページの [リソースディレクトリ] タブに戻り、手順 3 で作成したタグポリシーを見つけ、アタッチ[アクション] 列の をクリックします。

   2. [アタッチ] ダイアログボックスで、タグポリシーをアタッチするオブジェクトを選択し、[OK] をクリックします。

      次のオブジェクトのいずれかにタグポリシーをアタッチできます。テストのためにメンバーにタグポリシーをアタッチできます。テストが成功した場合は、ルートフォルダまたは特定のフォルダにタグポリシーをアタッチできます。

      • ルートフォルダ：タグポリシーをルートフォルダにアタッチすると、タグポリシーはリソースディレクトリのすべてのメンバーに有効になります。

      • 特定のフォルダ：タグポリシーを特定のフォルダにアタッチすると、タグポリシーはフォルダとそのサブフォルダ内のすべてのメンバーに有効になります。

      • 特定のメンバー：タグポリシーを特定のメンバーにアタッチすると、タグポリシーはそのメンバーに対してのみ有効になります。

5. タグポリシーが有効かどうかを確認します。

   1. 手順 4 でタグポリシーをアタッチしたメンバーを使用して、Alibaba Cloud 管理コンソールにログインします。

      詳細については、「メンバーを使用して Alibaba Cloud 管理コンソールにログインする」をご参照ください。

   2. メンバー内で ECS インスタンスを作成して、タグポリシーが有効かどうかを確認します。

      • 作成成功

        ECS インスタンスを作成するときに CostCenter:Beijing または CostCenter:Shanghai タグを ECS インスタンスに追加すると、ECS インスタンスは正常に作成されます。

      • 作成失敗

        デフォルトでは、コンプライアンス違反タグのイベント前インターセプトは、タグポリシーで定義されているタグに対してのみ有効になります。次のシナリオでは、ECS インスタンスは作成されません。

        • ECS インスタンスにタグを追加するときに入力したタグキーまたはタグ値の大文字と小文字が、タグポリシーで定義されているタグキーまたはタグ値の大文字と小文字と一致しない。たとえば、costCenter:beijing はコンプライアンス違反タグです。

        • タグキー CostCenter を ECS インスタンスに追加しますが、タグ値を追加しないか、コンプライアンス違反のタグ値を ECS インスタンスに追加します。

        厳密な検証機能を有効にしても、ECS インスタンスにタグを追加しないか、ECS インスタンスに他のタグを追加すると、ECS インスタンスは作成されません。

エラーコード