tsumiki-media logo

tsumiki-media

Command Palette

Search for a command to run...

AWS実践
約18分
上級+
8/10
2025年7月29日

AWS SCS-C02 対策 タグ管理・強制によるリソースガバナンス戦略

AWS Organizationsを活用したタグ管理・強制の実装方法を解説。Tag Policies、Service Control Policy、Resource Groupsを組み合わせた予防的制御、継続的監視、リソース整理の包括戦略を実践的な問題を通じて理解します。

この記事のポイント

  • 1
    Organizations Tag Policiesによる一貫したタグ標準化を理解する
  • 2
    SCPを使用した予防的タグ強制メカニズムを習得する
  • 3
    Config RulesとResource Groupsによる継続監視・自動修復を把握する

目次

タグ管理・強制によるリソースガバナンス

AWS環境の拡大に伴い、リソースの適切な分類と管理が重要になります。タグ管理・強制は、コスト配分、セキュリティポリシー適用、コンプライアンス監査を効率化する基盤技術です。

本記事では、Organizations Tag Policiesによる標準化、Service Control Policyでの予防的制御、Config Rules + Resource Groupsによる継続監視の3つのアプローチを実装例を通じて学習します。

資格取得で重要なトピック

タグ管理・強制では、以下の3つのアプローチが特に重要です。

Organizations Tag Policiesによる標準化

Organizations Tag Policiesは、組織全体で一貫したタグ命名規則と必須タグを定義・適用するサービスです。OUレベルで継承可能で、新規アカウントにも自動適用されます。

1
タグポリシーの定義
組織全体で統一するタグの命名規則と必須タグを定義
  • •
    Environment: dev/staging/prod
  • •
    BusinessUnit: finance/marketing/engineering
  • •
    CostCenter: 部門別コストセンター
  • •
    Owner: リソース責任者
2
OU階層での適用
組織単位（OU）レベルでポリシーを適用し継承構造を活用
  • •
    ルートレベルで基本ポリシーを定義
  • •
    部門OUで固有要件を追加
  • •
    環境OUで特別制約を設定
  • •
    新規アカウントに自動継承
3
コンプライアンス状況の確認
Tag Policiesの適用状況をコンプライアンスレポートで監視
  • •
    非準拠リソースの特定
  • •
    タグ適用率の測定
  • •
    部門別コンプライアンス状況
  • •
    改善アクションの優先順位付け

Tag Policiesによる標準化は、組織全体でのタグ管理の基盤となります。しかし、ポリシーの定義だけでは十分ではありません。実際の運用では、予防的制御と継続的監視を組み合わせることで、効果的なガバナンスを実現できます。

標準化された命名規則

組織全体で統一されたタグキー・値の形式を強制し、管理の一貫性を確保します。

必須タグの自動適用

新規リソース作成時に必要なタグが自動的に適用され、手動設定ミスを防止します。

OU階層での継承

組織構造に合わせてポリシーが継承され、部門固有の要件も柔軟に追加できます。

SCPによる予防的タグ強制

Service Control Policy（SCP）は、必須タグが付与されていないリソースの作成を予防的に阻止する強力なメカニズムです。

必須タグ強制のSCP例
{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "RequireTagsForEC2",
      "Effect": "Deny",
      "Action": [
        "ec2:RunInstances"
      ],
      "Resource": "*",
      "Condition": {
        "Null": {
          "aws:RequestedRegion": "false",
          "ec2:ResourceTag/Environment": "true",
          "ec2:ResourceTag/BusinessUnit": "true",
          "ec2:ResourceTag/Owner": "true"
        }
      }
    }
  ]
}

上記のSCPポリシーは、EC2インスタンス作成時にEnvironment、BusinessUnit、Ownerの3つのタグが必須であることを強制します。これらのタグが不足している場合、リソース作成は完全に阻止されます。

リソース作成時点での強制

必須タグがない場合、リソース作成自体が拒否され、後からの修正作業が不要になります。

ルートユーザーを含む全適用

アカウント内のすべてのプリンシパル（ルートユーザー含む）に適用され、例外なく制御できます。

組織全体での一貫性

OUレベルでの適用により、複数アカウントに統一ポリシーを効率的に展開できます。

判断基準

Tag Policiesは標準化のガイドライン、SCPは予防的な強制メカニズムです。両方を組み合わせることで包括的なタグガバナンスを実現します。

Config Rules + Resource Groups継続監視

AWS Config Rulesによる継続的な監視とAWS Resource Groupsによる論理的グループ化により、既存リソースのタグコンプライアンスを管理します。

Config Rules + Resource Groupsによるタグ監視ワークフロー

Config Rules + Resource Groupsによるタグ監視ワークフロー

Config Rules評価

必須タグの欠落を検出し、自動修復アクションで非準拠リソースにタグを追加します。

Resource Groups分類

タグベースでリソースを論理的にグループ化し、プロジェクトやチーム単位での管理を実現します。

自動修復機能

Lambda関数と連携して、検出された非準拠リソースに適切なタグを自動で付与します。

ベストプラクティス

予防的制御（SCP）でリソース作成時に強制し、継続監視（Config Rules）で既存リソースをメンテナンスすることで、完全なタグガバナンスを実現します。

実装シナリオで確認

ここまで学んだタグ管理・強制の戦略を、実装シナリオで確認しましょう。各シナリオは実際の運用場面に基づいており、適切なタグガバナンス実装を選択する能力を養います。

AWS認定セキュリティ - 専門知識

練習問題

大手金融サービス企業は、AWS Organizationsを使用して複数のAWSアカウントを管理しています。この企業は約100のAWSアカウントを持ち、部門や機能（開発、テスト、本番、セキュリティなど）に基づいて複数の組織単位（OU）に編成されています。 最近、この企業はリソースタグ付けの実装に関する重大な課題に直面しています： - リソースコストの帰属先が不明確 - 複数環境にまたがるセキュリティコントロールの適用が困難 - コンプライアンス要件のトラッキングができていない - 部門や環境ごとのリソース使用状況の可視性が不足している セキュリティチームとフィナンスチームは連携して、以下の要件を満たす包括的なマルチアカウントタグ付け戦略を実装したいと考えています： - すべてのアカウントで一貫したタグの命名規則を確保する - タグの使用を強制し、すべての新しいリソースに必須タグが付与されるようにする - 既存のリソースを特定し、必須タグで更新する - タグのコンプライアンスを継続的に監視する このシナリオで、企業のマルチアカウントタグ付け戦略を最も効果的に実装するためのアプローチはどれですか？（2つ選択してください）

AWS認定セキュリティ - 専門知識

練習問題

国際的な企業がAWS Organizationsを使用して複数のアカウントを管理しています。効果的なリソース管理、コスト配分、およびセキュリティコンプライアンスのために、一貫したタグ付け戦略を実装したいと考えています。この戦略では、異なる部門や環境にわたるリソースの可視性を確保し、コストセンターへの適切な費用配分を行うことが求められています。 企業全体でマルチアカウントタグ付け戦略を最も効果的に実施するための方法はどれですか？

AWS認定セキュリティ - 専門知識

練習問題

あるeコマース企業は、最近AWSへの移行を完了し、インフラストラクチャを拡大しています。この企業は複数の事業部門（衣料品、家具、電子機器など）を持ち、各部門には独自の開発、ステージング、本番環境があります。インフラストラクチャは急速に成長しており、複数のタイプのリソース（EC2インスタンス、Lambda関数、S3バケット、RDSインスタンスなど）が日々追加されています。 セキュリティチームは、以下の課題に直面しています： - 特定のアプリケーションに関連するすべてのリソースを迅速に特定できない - セキュリティポリシーを事業部門や環境ごとに適切に適用することが困難 - リソースの所有権とコスト配分が不明確 - インシデント対応時に影響を受けるリソースを特定するのに時間がかかる セキュリティチームは、AWSリソースを効果的に整理し管理するための体系的なアプローチを実装したいと考えています。特に、以下の目標があります： - アプリケーション、事業部門、環境に基づいてリソースを論理的にグループ化する - セキュリティポリシーを効率的に適用できるようにする - リソースの所有権とコスト配分を明確にする - インシデント対応プロセスを合理化する このシナリオで、企業のAWSリソースを最も効果的に整理して管理するためのアプローチはどれですか？

まとめ

タグ管理・強制による効果的なリソースガバナンスは、予防的制御、継続的監視、論理的整理の3つの柱で構成されます。これらの原則に基づく設計により、スケーラブルで監査可能なクラウド環境の構築が可能になります。

Organizations Tag Policiesにより、組織全体で一貫したタグ命名規則と必須タグを定義・適用できます。OUレベルでの継承により新規アカウントにも自動適用され、100以上のアカウントでも効率的な管理が可能です。Config Rulesと組み合わせることで包括的なタグガバナンスを実現します。

Service Control Policyにより、必須タグがないリソースの作成をリアルタイムで阻止できます。ルートユーザーを含む全プリンシパルに適用され、OUレベルでの展開により複数アカウントに一貫したタグ強制ポリシーを効率的に実装します。

AWS Resource Groupsにより、タグベースでリソースを論理的にグループ化し、プロジェクト・チーム・環境単位での効率的な管理を実現できます。Config Rulesによる継続監視と自動修復により、既存リソースのタグコンプライアンスも維持します。

これらの実装パターンにより、手動タグ管理の課題を解決し、自動化された継続的ガバナンスを構築できます。実際の運用では、これらの機能の組み合わせと使い分けを理解することが重要です。

理解度チェック

Organizations Tag PoliciesとSCPの役割分担を説明できるか？

SCPによる予防的タグ強制のメカニズムと制約を理解しているか？

Config RulesとResource Groupsによる継続監視の仕組みを説明できるか？

他の問題も解いてみませんか？

tsumikiでは、AWS認定試験の合格に必要な知識を体系的に学習できます。実践的な問題を通じて、AWSスキルを身につけましょう。

tsumikiで学習する