如何系统地打标签Tag

1 什么是打标签Tag

Tag会帮助你动态分类资源，并利用云原生的标签架构加速映射和可重复的分析。应用场景包括：成本分摊、安全合规、自动化。本文主要介绍如何通过tag安全合规。Tagging可以帮助限制访问敏感数据，或者限制只能指定的人进行高危操作，避免意外关停设备，恶意用户删库等行为。

2 命名最佳实践

1、 tag大小写敏感，因此建议命名时都使用英文小写，如果多个单词拼接则使用“-”连接。避免出现PersonID, PersonId, personid各种不同的标签，而这些标签实际标记的是同一类型。 2、使用“:”拼接标签的多个value，当写的程序比对某个key中是否已经标记了某个标签值的时候方便比对，并且简单统一； 3、注意不能使用“aws:”, “rds:” 这些AWS预置使用的前缀； 4、可以使用Unicode字符，数字，空格，'', '.', ':', '/', '=', '+', '-', '@' (Java regex: "^([\\p{L}\\p{Z}\\p{N}.:/=+\\-@]*)$").

AWS预置tags

Amazon预定义了很多tags，被很多Amazon服务自动创建。很多Amazon预置tags使用全小写，使用连字符号分隔，使用前缀识别标签的源服务，比如：

• aws:ec2spot:fleet-request-id 识别启动该实例的Amazon EC2 Spot Instance Request。

• aws:cloudformation:stack-name 识别创建该资源的亚马逊CloudFormation。

• elasticbeanstalk:environment-name 识别创建该资源的应用程序。

3 打标签最佳实践

比如你希望识别某个IAM role是游戏开发部门正在使用的，你可以使用tag：“team: gamedev”, team是键key，gamedev是值value。以下是推荐使用的tags：

键 Key

值 Value

解释

application

Zeus

标记资源是用于哪个业务应用的

workload

test

标记是什么环境，比如测试环境Test

confidential

public

标记资源的敏感等级，比如公开的Public，私有的Private

owner

administrator

标记谁对这个资源负责，也就是出现了任何安全问题负责修复和确认的人/团队，比如管理员administrator

name

Test-App2

给这个服务器一个别名

instance-role

AppServer

标记这个服务器是做什么的，比如应用服务器还是数据库服务器

cost-center

Security

成本中心是哪个部门，也就是谁来承担这个服务器的成本开销

pii

true

标记是否含有个人隐私数据

pii-type

phone

标记涉及的个人隐私数据类型

sensitivity

标记数据的敏感等级

ope-team

ou1

标记负责运维的团队

dev-team

gamedev

标记使用这个资源的开发团队

基于标签的权限控制

参见如何根据标签定义配置访问Amazon资源的权限。

1 什么是打标签Tag

2 命名最佳实践

3 打标签最佳实践

基于标签的权限控制

更多资料