태그 정책 구문 및 예제

이 페이지에서는 태그 정책 구문에 대해 설명하고 예제를 제공합니다.

태그 정책 구문

태그 정책은 JSON 규칙에 따라 구성된 일반 텍스트 파일입니다. 태그 정책 구문은 관리 정책 유형에 대한 구문을 따릅니다. 해당 구문에 대한 자세한 내용은 관리 정책 상속에 대한 이해 단원을 참조하세요. 이 항목에서는 태그 정책 유형의 특정 요구 사항에 해당 일반 구문을 적용하는 방법을 중점적으로 설명합니다.

다음 태그 정책은 기본 태그 정책 구문을 보여줍니다.

{
    "tags": {
        "costcenter": {
            "tag_key": {
                "@@assign": "CostCenter"
            },
            "tag_value": {
                "@@assign": [
                    "100",
                    "200"
                ]
            },
            "enforced_for": {
                "@@assign": [
                    "secretsmanager:*"
                ]
            }
        }
    }
}

태그 정책 구문에는 다음 요소가 포함됩니다.

• tags 필드 키 이름입니다. 태그 정책은 항상 이 고정 키 이름으로 시작합니다. 위의 예제 정책에서 맨 위 줄입니다.

• 정책 설명을 고유하게 식별하는 정책 키입니다. 이 값은 대소문자 처리를 제외하고 태그 키의 값과 일치해야 합니다. 태그 키(다음에 설명)와 달리 정책 값은 대/소문자를 구분하지 않습니다.

  이 예제에서 costcenter는 정책 키입니다.

• 리소스에서 준수하게 하려는 대소문자 처리 방식을 사용하여 허용된 태그 키를 지정하는 최소 하나의 태그 키입니다. 대소문자 처리가 정의되지 않은 경우 태그 키의 기본 대소문자 처리 방법은 소문자입니다. 태그 키의 값은 정책 키의 값과 일치해야 합니다. 그러나 정책 키 값은 대소문자를 구분하지 않으므로 대소문자 처리가 다를 수 있습니다.

  이 예제에서 CostCenter는 태그 키입니다. 이는 태그 정책을 준수하는 데 필요한 대소문자 처리입니다. 이 태그 키에 대한 대체 대소문자 처리를 사용하는 리소스는 태그 정책을 준수하지 않습니다.

  한 태그 정책에 여러 태그 키를 정의할 수 있습니다.

• (선택 사항) 태그 키에 대해 허용 가능한 하나 이상의 태그 값 목록입니다. 태그 정책에 따라 태그 키의 태그 값이 지정되지 않으면 모든 값(값이 전혀 없는 경우 포함)이 정책을 준수하는 것으로 간주됩니다.

  이 예제에서 CostCenter 태그 키에 허용 가능한 값은 100 및 200입니다.

• (선택 사항) 지정된 서비스와 리소스에서 정책 미준수 태그 지정 작업을 금지할지 여부를 나타내는 enforced_for 옵션입니다. 콘솔에서 이 옵션은 태그 정책 생성에 대한 시각적 편집기의 이 태그에 대한 정책 미준수 작업 금지 옵션입니다. 이 옵션의 기본 설정은 null입니다.

  태그 정책 예제는 모든 AWS Secrets Manager 리소스에 이 태그가 있어야 하도록 지정합니다.

  주의

  태그 정책을 사용한 경험이 있는 경우에만 이 옵션을 기본값에서 변경해야 합니다. 그렇지 않으면 조직 계정의 사용자가 필요한 리소스를 생성하지 못하도록 할 수 있습니다.

• 태그 정책이 조직 트리 내의 다른 태그 정책과 병합되여 계정의 유효 태그 정책을 생성하는 방법을 지정하는 연산자입니다. 이 예제에서 @@assign은 tag_key, tag_value 및 enforced_for에 문자열을 할당하는 데 사용됩니다. 연산자에 대한 자세한 내용은 상속 연산자 단원을 참조하세요.

• – 태그 값과 enforced_for 필드에서 * 와일드카드를 사용할 수 있습니다.

  • 태그 값당 하나의 와일드카드만 사용할 수 있습니다. 예를 들어, *@example.com은 허용되지만 *@*.com은 허용되지 않습니다.

  • enforced_for의 경우 일부 서비스에서 <service>:*를 사용하여 해당 서비스의 모든 리소스에 적용하는 기능을 활성화할 수 있습니다. enforced_for를 지원하는 서비스 및 리소스의 목록은 적용을 지원하는 서비스 및 리소스 유형을 참조하세요.

    와일드카드를 사용하여 모든 서비스를 지정하거나 모든 서비스에 대한 리소스를 지정할 수는 없습니다.

태그 정책 예제

다음 태그 정책 예제는 정보 제공 용도로만 제공됩니다.

참고

조직에서 이러한 태그 정책 예제를 사용하려면 먼저 다음 사항에 주의하세요.

• 태그 정책을 시작하려면 권장 워크플로우를 따라야 합니다.

• 각자 고유의 요구 사항에 맞게 이러한 태그 정책을 신중하게 검토하고 사용자 지정해야 합니다.

• 태그 정책의 모든 문자는 최대 크기가 정해져 있습니다. 이 설명서의 예제는 가독성을 높이기 위한 추가 공백으로 서식이 지정된 SCP를 보여 줍니다. 하지만 정책 크기가 최대 크기에 도달하는 경우 공간을 절약하기 위해 공백을 모두 삭제할 수 있습니다. 공백의 예에는 따옴표 밖에 있는 공백 문자와 줄 바꿈이 있습니다.

• 태그가 지정되지 않은 리소스는 결과에 정책 미준수로 나타나지 않습니다.

예제 1: 조직 전체의 태그 키 사례 정의

다음 예제에서는 두 개의 태그 키만 정의하는 태그 정책과 조직의 계정에서 표준화할 대소문자 처리만 정의하는 태그 정책을 보여 줍니다.

정책 A - 조직 루트 태그 정책

{
    "tags": {
        "CostCenter": {
            "tag_key": {
                "@@assign": "CostCenter",
                "@@operators_allowed_for_child_policies": ["@@none"]
            }
        },
        "Project": {
            "tag_key": {
                "@@assign": "Project",
                "@@operators_allowed_for_child_policies": ["@@none"]
            }
        }
    }
}

이 태그 정책은 CostCenter와 Project라는 두 가지 태그 키를 정의합니다 . 이 태그 정책을 조직 루트에 연결하면 다음과 같은 효과가 발생합니다.

• 조직의 모든 계정이 이 태그 정책을 상속합니다.

• 정책을 준수하기 위해 조직의 모든 계정이 정의된 대소문자 처리를 사용해야 합니다. CostCenter 및 Project 태그가 있는 리소스는 정책을 준수합니다. 태그 키에 대한 대체 대소문자 처리를 사용하는 리소스(예: costcenter, Costcenter 또는 COSTCENTER)는 정책을 준수하지 않습니다.

• @@operators_allowed_for_child_policies": ["@@none"] 행은 태그 키를 잠급니다. 조직 트리의 아래쪽에 연결된 태그 정책(하위 정책)은 값 설정(value-setting) 연산자를 사용하여 태그 키를 변경할 수 없습니다(대소문자 처리 포함).

• 모든 태그 정책이 그렇듯이, 태그 없는 리소스 또는 태그 정책에서 정의되지 않은 태그는 태그 정책 준수 여부가 평가되지 않습니다.

AWS에서는 사용할 태그 키에 대해 비슷한 태그 정책을 생성할 때 이 예제를 가이드로 사용하는 것이 좋습니다. 이 태그 정책을 조직 루트에 연결합니다. 그런 다음 정의된 태그 키에 대해 허용 가능한 값만 정의하는 다음 예제와 비슷한 태그 정책을 생성합니다.

다음 단계: 값 정의

이전의 태그 정책을 조직 루트에 연결했다고 가정합니다. 그런 다음, 다음과 같은 태그 정책을 생성하여 계정에 연결할 수 있습니다. 이 정책은 CostCenter 및 Project 태그 키에 대해 허용 가능한 값을 정의합니다.

정책 B - 계정 태그 정책

{
    "tags": {
        "CostCenter": {
            "tag_value": {
                "@@assign": [
                    "Production",
                    "Test"
                ]
            }
        },
        "Project": {
            "tag_value": {
                "@@assign": [
                    "A",
                    "B"
                ]
            }
        }
    }
}

정책 A를 조직 루트에 연결하고 정책 B를 계정에 연결하면 정책이 결합되어 계정에 대해 다음과 같은 유효 태그 정책을 생성합니다.

정책 A + 정책 B = 계정에 대한 유효 태그 정책

{
    "tags": {
        "Project": {
            "tag_value": [
                "A",
                "B"
            ],
            "tag_key": "Project"
        },
        "CostCenter": {
            "tag_value": [
                "Production",
                "Test"
            ],
            "tag_key": "CostCenter"
        }
    }
}

상속 연산자의 작동 방식 예제 및 유효 태그 정책 예제를 포함하여 정책 상속에 대한 자세한 내용은 관리 정책 상속에 대한 이해 단원을 참조하세요.

예제 2: 태그 키 사용 방지

태그 키의 사용을 방지하기 위해 다음과 같은 태그 정책을 조직 엔터티에 연결할 수 있습니다.

이 예제 정책은 Color 태그 키에 어떤 값도 사용할 수 없도록 지정합니다. 또한 하위 태그 정책에서 연산자가 허용되지 않도록 지정합니다. 따라서 영향을 받는 계정의 리소스에 대한 모든 Color 태그는 미준수로 간주됩니다. 그러나 enforced_for 옵션은 영향을 받는 계정이 Amazon DynamoDB 테이블에만 Color 태그를 지정하는 것을 방지합니다.

{
    "tags": {
        "Color": {
            "tag_key": {
                "@@operators_allowed_for_child_policies": [
                    "@@none"
                ],
                "@@assign": "Color"
            },
            "tag_value": {
                "@@operators_allowed_for_child_policies": [
                    "@@none"
                ],
                "@@assign": []
            },
            "enforced_for": {
                "@@assign": [
                    "dynamodb:table"
                ]
            }
        }
    }
}