有効なタグポリシーの表示

アカウント内のタグ付きリソースのコンプライアンス状態の確認を開始する前に、まずアカウントの有効なタグポリシーを特定しておくと便利です。

有効なタグポリシーとは

有効なタグポリシーは、アカウントに適用されるタグ付けルールを指定するものです。これは、アカウントが継承するすべてのタグポリシーと、アカウントに直接アタッチされたタグポリシーの集約です。タグポリシーを組織ルートにアタッチすると、組織内のすべてのアカウントに適用されます。OU にタグポリシーをアタッチすると、OU に属するすべてのアカウントと OU に適用されます。

例えば、組織ルートにアタッチされたタグポリシーで、4 つの準拠値を持つ CostCenter タグを定義するとします。この場合、アカウントにアタッチされた別のタグポリシーで、 CostCenter キーを 4 つの準拠値のうち 2 つだけに制限できます。これらのタグポリシーを組み合わせることにより、有効なタグポリシーが構成されます。その結果、組織ルートのタグポリシーで定義されている 4 つの準拠タグ値のうち 2 つだけがアカウントで準拠することになります。

有効なタグポリシーの生成方法の詳細と詳しい例については、「管理ポリシーの継承を理解する」を参照してください 。

有効なタグポリシーの表示方法

アカウントの有効なタグポリシーは、AWS Management Console、AWS API 、または AWS Command Line Interface から表示できます。

最小アクセス許可

アカウントの有効なタグポリシーを表示するには、以下のアクションを実行する権限が必要です。

• organizations:DescribeEffectivePolicy

• organizations:DescribeOrganization

AWS Management Console

アカウントの有効なポリシーを表示するには

1. AWS Organizations コンソールにサインインします。組織の管理アカウントで、IAM ユーザーとしてサインインするか、IAM ロールを引き受けるか、ルートユーザーとしてサインインする (推奨されません) 必要があります。

2. AWS アカウント ページで、有効なタグポリシーを表示するアカウントの名前を選択します。場合によっては、目的のアカウントを見つけるには OU を展開 ( を選択) する必要があります。

3. [Policies] (ポリシー) タブの [Tag policies] (タグポリシー) セクションで、[View the effective tag policy for this AWS アカウント] (この AWS アカウント の有効なタグポリシーを表示する) を選択します。

   指定したアカウントに適用されている有効なポリシーがコンソールに表示されます。

   注記

   有効なポリシーをコピーして貼り付けて、大きな変更を加えずに別のタグポリシーの JSON として使用することはできません。タグポリシードキュメントには、各設定を最終的な有効なポリシーにマージする方法を指定する 継承演算子 を含める必要があります。

AWS CLI & AWS SDKs

アカウントの有効なポリシーを表示するには

次のいずれかの方法を使用して、有効なタグポリシーを表示できます。

• AWS CLI: describe-effective-policy

  アカウントによって継承された、またはアカウントにアタッチされているタグ付けルールを決定するには、アカウントから次のコマンドを実行し、結果をファイルに保存します。

  $ aws organizations describe-effective-policy \
      --policy-type TAG_POLICY
  {
      "EffectivePolicy": {
          "PolicyContent": "{\"tags\":{\"costcenter\":{\"tag_value\":[\"*\"],\"tag_key\":\"CostCenter\"}}}",
          "LastUpdatedTimestamp": "2020-06-09T08:34:25.103000-07:00",
          "TargetId": "123456789012",
          "PolicyType": "TAG_POLICY"
      }
  }

  タグポリシーがアカウントとルート、またはすべての OU にアタッチされている場合、アカウントの有効なタグポリシーは継承されたすべてのポリシーの組み合わせによって定義されます。このような場合、アカウントから describe-effective-policy を実行すると、アカウントの階層内のすべてのタグポリシーのマージされた内容が返されます。

• AWS SDK: DescribeEffectivePolicy