Resource Management:タグポリシー機能を有効にする

タグポリシー機能のモード

Resource Management では、タグポリシー機能をシングルアカウントモードまたはリソースディレクトリモードで有効にすることができます。ビジネスシナリオとログインアカウントの種類に基づいて、特定のモードのタグポリシー機能を有効にすることができます。次の表に、2 つのモードを示します。

RAM 権限

RAM ユーザーを使用してタグポリシー機能を有効にすることをお勧めします。

• シングルアカウントモードのタグポリシー: 次のカスタム権限ポリシーを Alibaba Cloud アカウント内の RAM ユーザーにアタッチします。

  {
      "Version": "1",
      "Statement": [
          {
              "Action": [
                "tag:GetConfigRuleReport", // 設定ルールレポートの取得
                "tag:GenerateConfigRuleReport", // 設定ルールレポートの生成
                "tag:GetEffectivePolicy", // 有効なポリシーの取得
                "tag:ListConfigRulesForTarget", // ターゲットの設定ルールのリスト
                "tag:ListPoliciesForTarget", // ターゲットのポリシーのリスト
                "tag:ListTargetsForPolicy", // ポリシーのターゲットのリスト
                "tag:ListPolicies", // ポリシーのリスト
                "tag:GetPolicy", // ポリシーの取得
                "tag:GetPolicyEnableStatus", // ポリシーの有効化ステータスの取得
                "tag:DetachPolicy", // ポリシーのデタッチ
                "tag:DeletePolicy", // ポリシーの削除
                "tag:ModifyPolicy", // ポリシーの変更
                "tag:AttachPolicy", // ポリシーのアタッチ
                "tag:CreatePolicy", // ポリシーの作成
                "tag:DisablePolicyType", // ポリシータイプの無効化
                "tag:EnablePolicyType", // ポリシータイプの有効化
                "tag:ListSupportResourceTypes" // サポートされているリソースタイプのリスト
              ],
              "Resource": "*",
              "Effect": "Allow"
          },
          {
              "Action": [
                  "rd:ListAccountsForParent", // 親アカウントのアカウントのリスト
                  "rd:ListFoldersForParent", // 親フォルダのフォルダのリスト
                  "rd:GetResourceDirectory", // リソースディレクトリの取得
                  "config:GetAggregateResourceComplianceByConfigRule", // 設定ルールごとの集約リソースコンプライアンスの取得
                  "config:ListAggregateConfigRuleEvaluationResults", // 集約設定ルール評価結果のリスト
                  "config:GetAggregateConfigRulesReport", // 集約設定ルールレポートの取得
                  "config:GetResourceComplianceGroupByRegion", // リージョンごとのリソースコンプライアンスの取得
                  "config:ListConfigRuleEvaluationResults", // 設定ルール評価結果のリスト
                  "config:GetConfigRulesReport", // 設定ルールレポートの取得
                  "config:ListRemediations", // 修復のリスト
                  "oos:ListExecutions" // 実行のリスト
              ],
              "Resource": "*",
              "Effect": "Allow"
          },
          {
              "Action": "ram:CreateServiceLinkedRole", // サービスロールの作成
              "Resource": "*",
              "Effect": "Allow",
              "Condition": {
                "StringEquals": {
                  "ram:ServiceName": "tag.aliyuncs.com" // サービス名
                 }
              }
          }
      ]
  }

• リソースディレクトリモードのタグポリシー: リソースディレクトリ管理用の AliyunResourceDirectoryFullAccess 権限ポリシーと、前述のカスタム権限ポリシーを、リソースディレクトリの管理アカウント内の RAM ユーザーにアタッチします。

詳細については、「カスタムポリシーを作成する」および「RAM ユーザーに権限を付与する」をご参照ください。