本文為您介紹如何快速地使用標簽策略來規范標簽的操作。
背景信息
標簽策略支持當前賬號標簽策略和資源目錄標簽策略兩種。更多信息，請參見標簽策略模式。
首次使用標簽策略時，建議您先在資源較少的測試賬號上啟用標簽策略，等待測試成功后，再在生產賬號上啟用標簽策略。
當前賬號標簽策略
步驟一：啟用標簽策略
登錄標簽控制臺。
在左側導航欄，選擇標簽策略 > 策略庫。
在策略庫頁面，單擊啟用標簽策略。
在啟用標簽策略對話框，單擊確定。
啟用標簽策略時，會自動創建一個服務關聯角色（AliyunServiceRoleForTag）解決跨服務訪問問題。更多信息，請參見標簽服務關聯角色。
步驟二：創建標簽策略
您可以創建標簽策略，通過配置策略內容，限定資源上必須綁定的標簽，確保資源綁定合規的標簽。
在左側導航欄，選擇標簽策略 > 策略庫。
在策略庫頁面，單擊創建標簽策略。
在基本信息區域，輸入策略名稱和描述。
在策略信息區域，選擇以下任意一種方式，配置策略內容。
快速錄入（推薦）
選擇策略場景，然后根據不同的策略場景配置不同的規則。
資源綁定指定標簽值
您可以在標簽策略中設置資源綁定指定的標簽值，結合不同的執行方式，實現不合規標簽自動檢測、不合規標簽自動修復、對不合規標簽的綁定操作進行事前攔截等。
規則
說明
標簽鍵
輸入標簽鍵名稱。
指定允許的標簽值
標簽鍵允許使用的標簽值。支持輸入多值。支持輸入通配符星號（*），表示允許任意標簽值。
策略執行方式
事后檢測
事后檢測為該標簽策略場景的默認執行方式，您可以直接在檢測結果頁面查看檢測結果。您可以根據需要啟用以下的檢測規則：
為此標簽鍵指定檢測的資源類型：事后檢測默認檢測支持的所有資源類型。您也可以根據需要指定資源類型，指定后，僅檢測指定的資源類型。
指定資源組范圍：默認檢測所有資源組中的資源。您也可以根據需要指定資源組范圍進行檢測。最多可以指定20個資源組。
說明資源目錄標簽策略不支持指定資源組范圍參數。
指定地域范圍：默認檢測所有地域中的資源。您也可以根據需要指定地域范圍進行檢測。最多可以指定20個地域。
啟用自動修復：對不合規資源的標簽進行自動修復。您需要指定合規標簽值和執行自動修復的資源范圍。目前只支持通過標簽指定資源范圍。
事前攔截
事前攔截將在創建新資源以及為已有資源綁定標簽時進行檢測，檢測不通過時將對操作進行攔截。具體如下：
創建資源時攔截不合規標簽。
不合規情況
不合規情況1：資源創建時綁定了標簽策略中設置的標簽鍵，但標簽值不合規。
不合規情況2：資源創建時未綁定標簽策略中設置的標簽鍵。
默認和邀請功能
默認功能：只對不合規情況1觸發攔截。支持事前攔截默認功能的資源類型及API，請參見支持標簽策略的云服務的支持事前攔截的API（默認）列。
邀測功能：對不合規情況1和2都會觸發攔截。如需試用，請聯系阿里云的服務經理申請體驗資格。支持事前攔截邀測功能的資源類型及API，請參見支持標簽策略的云服務的支持創建資源時攔截的API（邀測）列。
示例
標簽策略中設置了創建ECS實例時，必須綁定標簽
CostCenter:Beijing。當您創建ECS實例時，默認情況下，只針對綁定標簽鍵CostCenter（不區分大小寫）的情況進行檢測，標簽合規（例如：CostCenter:Beijing）時ECS實例會創建成功，標簽不合規（例如：costcenter:Shanghai）時ECS實例會創建失敗。當您啟用邀測功能后，會針對未綁定標簽鍵CostCenter（不區分大小寫）情況進行檢測，即未綁定標簽CostCenter:Beijing的ECS實例會創建失敗。為已存在的資源綁定標簽時攔截不合規標簽。
為已存在的資源綁定標簽時，校驗標簽策略中設置的標簽鍵和標簽值是否符合規則。如符合規則，則標簽綁定成功，否則，標簽綁定失敗。
資源自動繼承資源組標簽
您可以為資源組綁定標簽，然后在標簽策略中設置資源自動繼承資源組標簽，就可以實現當資源組中創建資源或者將資源加入到資源組時，該資源自動繼承資源組的指定標簽。
規則
說明
標簽鍵
輸入標簽鍵名稱。
為此標簽鍵指定檢測的資源類型
默認檢測支持的所有資源類型。您也可以根據需要指定資源類型，指定后，僅檢測指定的資源類型。
指定資源組范圍
默認檢測所有資源組中的資源。您也可以根據需要指定資源組范圍進行檢測。最多可以指定20個資源組。
說明資源目錄標簽策略不支持指定資源組范圍參數。
指定需要排除的資源ID
指定資源組內需要排除的資源ID，即這些資源不自動繼承資源組標簽。最多可以指定20個資源ID。
指定地域范圍
默認檢測所有地域中的資源。您也可以根據需要指定地域范圍進行檢測。最多可以指定20個地域。
標簽值匹配指定正則表達式
您可以在標簽策略中設置標簽值需要滿足的正則表達式，以此約束標簽值的合規性。對于不滿足正則表達式的標簽值，支持自動修復。
規則
說明
標簽鍵
輸入標簽鍵名稱。
指定允許的標簽值
輸入正則表達式，約束標簽值的格式。
策略執行方式
事后檢測為該標簽策略場景的默認執行方式，您可以直接在檢測結果頁面查看檢測結果。您還可以根據需要啟用以下的檢測規則：
為此標簽鍵指定檢測的資源類型：事后檢測默認檢測支持的所有資源類型。您也可以根據需要指定資源類型，指定后，僅檢測指定的資源類型。
指定資源組范圍：默認檢測所有資源組中的資源。您也可以根據需要指定資源組范圍進行檢測。最多可以指定20個資源組。
說明資源目錄標簽策略不支持指定資源組范圍參數。
指定地域范圍：默認檢測所有地域中的資源。您也可以根據需要指定地域范圍進行檢測。最多可以指定20個地域。
啟用自動修復：對不合規資源的標簽進行自動修復。您需要指定合規標簽值和執行自動修復的資源范圍。目前只支持通過標簽指定資源范圍。
您可以單擊添加策略場景和標簽鍵，對多個策略場景和標簽鍵配置規則。
JSON
編寫JSON格式的策略信息。該方式適用于對標簽策略有高階需求的用戶。使用前，您需要掌握策略語法知識。更多信息，請參見標簽策略語法。
單擊創建。
步驟三：綁定標簽策略
當您成功創建標簽策略后，您還需要將標簽策略綁定到當前賬號，才能對當前賬號中的資源進行標簽規范化管控。
在左側導航欄，選擇標簽策略 > 策略庫。
在策略庫頁面，單擊目標標簽策略操作列的綁定。
在綁定對話框，單擊確定。
該標簽策略綁定到當前登錄的阿里云賬號。
（可選）步驟四：查看有效策略
標簽策略綁定成功后，阿里云賬號可以查看自己已綁定的有效策略。
在左側導航欄，選擇標簽策略 > 有效策略。
單擊策略場景頁簽，然后單擊標簽鍵名稱，查看有效策略及對應的檢測任務。
步驟五：驗證標簽策略是否生效
登錄當前阿里云賬號或其下的RAM用戶，執行標簽操作，驗證標簽策略是否生效。例如：如果您為VPC實例設置了標簽策略，要求其必須綁定標簽CostCenter:Beijing。當您綁定合規標簽CostCenter:Beijing時，會綁定成功；綁定其他不合規標簽（例如：costCenter:Shanghai）時，會綁定失敗。此時，證明標簽策略已生效。
資源目錄標簽策略
根據安全最佳實踐，推薦您為資源目錄的管理賬號創建一個RAM用戶，并授予AdministratorAccess權限，充當資源目錄的管理員（簡稱為RD管理員）。以下操作將使用RD管理員完成。關于創建RAM用戶并授權的操作，請參見創建RAM用戶和為RAM用戶授權。
步驟一：啟用標簽策略
登錄標簽控制臺。
在左側導航欄，選擇標簽策略 > 策略庫。
在策略庫頁面，單擊啟用標簽策略。
在啟用標簽策略對話框，選擇標簽策略模式。
您可以同時選擇以下兩種模式，也可以任選其一：
資源目錄開通標簽策略：為資源目錄啟用標簽策略。
當前賬號開通標簽策略：為管理賬號本身啟用標簽策略。
單擊確定。
啟用標簽策略時，會自動創建一個服務關聯角色（AliyunServiceRoleForTag）解決跨服務訪問問題。更多信息，請參見標簽服務關聯角色。
步驟二：創建標簽策略
您可以創建標簽策略，通過配置策略內容，限定資源上必須綁定的標簽，確保資源綁定合規的標簽。
在左側導航欄，選擇標簽策略 > 策略庫。
在策略庫頁面的資源目錄策略頁簽，單擊創建標簽策略。
在基本信息區域，輸入策略名稱和描述。
在策略信息區域，選擇以下任意一種方式，配置策略內容。
快速錄入（推薦）
選擇策略場景，然后根據不同的策略場景配置不同的規則。
資源綁定指定標簽值
您可以在標簽策略中設置資源綁定指定的標簽值，結合不同的執行方式，實現不合規標簽自動檢測、不合規標簽自動修復、對不合規標簽的綁定操作進行事前攔截等。
規則
說明
標簽鍵
輸入標簽鍵名稱。
指定允許的標簽值
標簽鍵允許使用的標簽值。支持輸入多值。支持輸入通配符星號（*），表示允許任意標簽值。
策略執行方式
事后檢測
事后檢測為該標簽策略場景的默認執行方式，您可以直接在檢測結果頁面查看檢測結果。您可以根據需要啟用以下的檢測規則：
為此標簽鍵指定檢測的資源類型：事后檢測默認檢測支持的所有資源類型。您也可以根據需要指定資源類型，指定后，僅檢測指定的資源類型。
指定資源組范圍：默認檢測所有資源組中的資源。您也可以根據需要指定資源組范圍進行檢測。最多可以指定20個資源組。
說明資源目錄標簽策略不支持指定資源組范圍參數。
指定地域范圍：默認檢測所有地域中的資源。您也可以根據需要指定地域范圍進行檢測。最多可以指定20個地域。
啟用自動修復：對不合規資源的標簽進行自動修復。您需要指定合規標簽值和執行自動修復的資源范圍。目前只支持通過標簽指定資源范圍。
事前攔截
事前攔截將在創建新資源以及為已有資源綁定標簽時進行檢測，檢測不通過時將對操作進行攔截。具體如下：
創建資源時攔截不合規標簽。
不合規情況
不合規情況1：資源創建時綁定了標簽策略中設置的標簽鍵，但標簽值不合規。
不合規情況2：資源創建時未綁定標簽策略中設置的標簽鍵。
默認和邀請功能
默認功能：只對不合規情況1觸發攔截。支持事前攔截默認功能的資源類型及API，請參見支持標簽策略的云服務的支持事前攔截的API（默認）列。
邀測功能：對不合規情況1和2都會觸發攔截。如需試用，請聯系阿里云的服務經理申請體驗資格。支持事前攔截邀測功能的資源類型及API，請參見支持標簽策略的云服務的支持創建資源時攔截的API（邀測）列。
示例
標簽策略中設置了創建ECS實例時，必須綁定標簽
CostCenter:Beijing。當您創建ECS實例時，默認情況下，只針對綁定標簽鍵CostCenter（不區分大小寫）的情況進行檢測，標簽合規（例如：CostCenter:Beijing）時ECS實例會創建成功，標簽不合規（例如：costcenter:Shanghai）時ECS實例會創建失敗。當您啟用邀測功能后，會針對未綁定標簽鍵CostCenter（不區分大小寫）情況進行檢測，即未綁定標簽CostCenter:Beijing的ECS實例會創建失敗。為已存在的資源綁定標簽時攔截不合規標簽。
為已存在的資源綁定標簽時，校驗標簽策略中設置的標簽鍵和標簽值是否符合規則。如符合規則，則標簽綁定成功，否則，標簽綁定失敗。
資源自動繼承資源組標簽
您可以為資源組綁定標簽，然后在標簽策略中設置資源自動繼承資源組標簽，就可以實現當資源組中創建資源或者將資源加入到資源組時，該資源自動繼承資源組的指定標簽。
規則
說明
標簽鍵
輸入標簽鍵名稱。
為此標簽鍵指定檢測的資源類型
默認檢測支持的所有資源類型。您也可以根據需要指定資源類型，指定后，僅檢測指定的資源類型。
指定資源組范圍
默認檢測所有資源組中的資源。您也可以根據需要指定資源組范圍進行檢測。最多可以指定20個資源組。
說明資源目錄標簽策略不支持指定資源組范圍參數。
指定需要排除的資源ID
指定資源組內需要排除的資源ID，即這些資源不自動繼承資源組標簽。最多可以指定20個資源ID。
指定地域范圍
默認檢測所有地域中的資源。您也可以根據需要指定地域范圍進行檢測。最多可以指定20個地域。
標簽值匹配指定正則表達式
您可以在標簽策略中設置標簽值需要滿足的正則表達式，以此約束標簽值的合規性。對于不滿足正則表達式的標簽值，支持自動修復。
規則
說明
標簽鍵
輸入標簽鍵名稱。
指定允許的標簽值
輸入正則表達式，約束標簽值的格式。
策略執行方式
事后檢測為該標簽策略場景的默認執行方式，您可以直接在檢測結果頁面查看檢測結果。您還可以根據需要啟用以下的檢測規則：
為此標簽鍵指定檢測的資源類型：事后檢測默認檢測支持的所有資源類型。您也可以根據需要指定資源類型，指定后，僅檢測指定的資源類型。
指定資源組范圍：默認檢測所有資源組中的資源。您也可以根據需要指定資源組范圍進行檢測。最多可以指定20個資源組。
說明資源目錄標簽策略不支持指定資源組范圍參數。
指定地域范圍：默認檢測所有地域中的資源。您也可以根據需要指定地域范圍進行檢測。最多可以指定20個地域。
啟用自動修復：對不合規資源的標簽進行自動修復。您需要指定合規標簽值和執行自動修復的資源范圍。目前只支持通過標簽指定資源范圍。
您可以單擊添加策略場景和標簽鍵，對多個策略場景和標簽鍵配置規則。
JSON
編寫JSON格式的策略信息。該方式適用于對標簽策略有高階需求的用戶。使用前，您需要掌握策略語法知識。更多信息，請參見標簽策略語法。
單擊創建。
步驟三：綁定標簽策略
當您成功創建標簽策略后，您還需要將標簽策略綁定到目標賬號，才能對目標賬號中的資源進行標簽規范化管控。
在左側導航欄，選擇標簽策略 > 策略庫。
在策略庫頁面，單擊資源目錄策略頁簽。
單擊目標標簽策略操作列的綁定。
在綁定對話框，選擇綁定目標，然后單擊確定。
各綁定目標的生效范圍如下：
Root資源夾：標簽策略對整個資源目錄中的全部成員生效。
指定資源夾：標簽策略僅對指定資源夾中的全部成員生效。
指定成員：標簽策略僅對指定成員生效。
說明資源目錄標簽策略不能綁定到資源目錄的管理賬號，但是，您可以為管理賬號創建和綁定當前賬號標簽策略。
（可選）步驟四：查看有效策略
標簽策略綁定成功后，RD管理賬號可以查看Root資源夾、資源夾和成員已生效的有效策略，成員可以查看自己已生效的有效策略。有效策略是根據標簽策略繼承關系計算得出的。更多信息，請參見標簽策略繼承和有效策略計算。
在左側導航欄，選擇標簽策略 > 有效策略。
查看有效策略。
單擊全部成員有效策略頁簽，查看資源目錄成員綁定的有效策略及對應的檢測任務。
單擊當前目錄有效策略頁簽，查看資源目錄管理賬號本身和資源目錄節點綁定的有效策略及對應的檢測任務。
步驟五：驗證標簽策略是否生效
RD管理員訪問綁定了標簽策略的RD成員。
具體操作，請參見成員登錄阿里云控制臺。
在成員的管理控制臺上，執行標簽操作，驗證標簽策略是否生效。
例如：如果您為VPC實例設置了標簽策略，要求其必須綁定標簽
CostCenter:Beijing。當您綁定合規標簽CostCenter:Beijing時，會綁定成功；綁定其他不合規標簽（例如：costCenter:Shanghai）時，會綁定失敗。此時，證明標簽策略已生效。