如果缺少标签，aws 条件规则会阻止资源启动答案

【问题标题】：aws conditional rule prevents resource launch if tags are missing如果缺少标签，aws 条件规则会阻止资源启动
【发布时间】：2017-03-13 18:39:08
【问题描述】：

如果 IAM 用户缺少“所有者”等特定标签，是否有阻止 IAM 用户启动任何可标记 AWS 资源的好例子？

【问题讨论】：

【解决方案1】：

某些 AWS 资源（例如 EC2 实例）在创建之前无法标记，因此我怀疑您正在寻找的内容是否可行。

您可能会考虑将AWS Config 与“required-tags”规则一起使用来监控标签合规性。

【讨论】：

这是正确的——不可能基于标签来限制操作。另一种方法是禁止用户直接启动实例，而是提供一个系统来代表他们启动实例。然后，该系统将标记它启动的任何实例。您实际上是在 AWS 之上构建了一个管理层，它还有一个额外的好处，就是您可以为自己没有 AWS 凭证的人提供服务。
我不想限制人们使用特定工具创建资源。我已经建立了一种文化，让团队在发布时使用他们使用的任何东西（terraform..etc）应用标签。我唯一不合规的情况是他们使用控制台时。因此，如果我无法在启动过程中阻止，您是否已经看到了成功的努力（例如使用 cloudtrail 的 cloudformation），如果标签丢失，则在启动后关闭它？