amazon-web-services - 我们可以通过标记策略在 CloudFormation 堆栈(级别)上强制执行某些 aws 标记吗？

Question

我们能否在部署 CloudFormation 堆栈时强制使用某些标签，这样如果有人不提供这些标签，他们将无法在 AWS 账户中部署该堆栈？

我想做的是强制执行某些标记模式。例如，如果有人想要部署他们的堆栈，他们必须提供某些标签，例如

1. 项目名称
2. 所有者
3. 舞台

此外，我们是否可以通过标记策略在组织级别强制执行此标记(到 CloudFormation 标记)？因此，如果没有堆栈级别的这些标签，没有人可以部署这些堆栈。

这将在堆栈级别而不是资源级别强制执行标记。由于堆栈内部可以包含多个资源，因此您不希望在每个资源下使用相同的标签。因此我们可以在堆栈部署级别要求某些标签。

我确实知道我们可以为 AWS 组织创建服务控制策略 (SCP)，但是我们可以为此用例使用标签策略吗？这是实现此目的的正确解决方案吗？还是有更好的方法可以做到这一点？

Answer 1

是的，您可以应用 SCP 强制在创建 CloudFormation Stack 时包含标签。如果您想在帐户级别限制它，这是正确的方法。如果你想专门应用于某个用户或组，那么 SCP 就不适合。使用以下 SCP 进行测试。您可以根据需要添加任意数量的条件:

{
"Version": "2012-10-17",
"Statement": [
    {
        "Sid": "CloudformationForceTagProject",
        "Effect": "Deny",
        "Action": "cloudformation:CreateStack",
        "Resource": "*",
        "Condition": {
            "Null": {
                "aws:RequestTag/Project_Name": "true"
            }
        }
    },
    {
        "Sid": "CloudformationForceTagOwner",
        "Effect": "Deny",
        "Action": "cloudformation:CreateStack",
        "Resource": "*",
        "Condition": {
            "Null": {
                "aws:RequestTag/Owner": "true"
            }
        }
    },
    {
        "Sid": "CloudformationForceTagStage",
        "Effect": "Deny",
        "Action": "cloudformation:CreateStack",
        "Resource": "*",
        "Condition": {
            "Null": {
                "aws:RequestTag/Stage": "true"
            }
        }
    }
]
}