c3.3 Definir uma estratégia de tags
Tags são metadados definidos pelo usuário (chave/valor) nos recursos. Uma estratégia de tags consistente sustenta o controle de acesso baseado em atributos, o rastreamento de propriedade e custos, a automação e a resposta a incidentes; por exemplo, proteger uma instância comprometida de uma exclusão acidental.
Guia de implementação
Por que as tags importam para a segurança
As tags permitem organizar, buscar e governar recursos, e habilitam várias capacidades de segurança:
- Controle de acesso baseado em atributos (ABAC): conceder acesso com base em tags correspondentes; por exemplo, permitir que os desenvolvedores atuem apenas em recursos com a tag
environment: development. - Propriedade: identificar o indivíduo ou unidade de negócio responsável por um recurso.
- Resposta a incidentes: marcar uma instância comprometida, combinado com uma política Deny sobre essa tag, pode prevenir a exclusão acidental de evidências forenses.
Siga as boas práticas de tags
- Nunca armazene PII ou dados confidenciais nas tags.
- Use um formato padronizado e consistente em maiúsculas/minúsculas aplicado a todos os tipos de recurso.
- Projete as tags para múltiplos propósitos: controle de acesso, alocação de custos, automação e organização.
- Automatize com a API de tags do Resource Groups para aplicar, buscar e auditar tags em escala.
- Prefira mais tags a menos, mas planeje as mudanças com cuidado: alterar uma tag usada para ABAC significa atualizar as políticas IAM que a referenciam.
Veja o whitepaper de boas práticas de tags e a orientação geral de tags.
Assista
Como validar
- Você tem uma estratégia de tags documentada e aplicada de forma consistente?
- As tags são usadas para impor acesso (ABAC) e identificar os responsáveis pelos recursos?
- Você evita armazenar PII ou segredos nas tags e automatiza a aplicação de tags em escala?
Ameaças atendidas
- Sem tags consistentes você não pode impor de forma confiável o controle de acesso baseado em atributos, atribuir propriedade nem proteger evidências forenses durante um incidente.