AWS では タグ (Tag) がコスト配分、リソース管理、自動化、ガバナンスの基盤となります。タグ戦略を設計せずにマルチアカウント環境を運用すると、コスト可視化も自動化も困難です。本記事ではタグ戦略の設計を SAA / SAP 両面から整理します。

SAA レベル：基礎概念

タグとは何か

タグは AWS リソースに付与するキー・値のメタデータ です。

キー・値ペア: Key=Environment, Value=Production の形式
リソース単位: EC2, S3, RDS 等ほぼ全リソースに付与可能
最大 50 タグ: 1 リソースあたり最大 50 個のタグ
検索・フィルタ: AWS コンソール / API でタグベース検索

SAA レベル：基礎概念

タグの核心は 「リソースに意味を持たせるメタデータ」 です。「この EC2 はどのプロジェクト？誰が責任者？どの環境？」をタグで表現し、コスト配分や管理の基盤にします。SAA では「タグ = リソース管理の基礎」として押さえます。

コスト配分タグ

コスト配分タグ (Cost Allocation Tags) は AWS 費用をタグで分類 する機能です。

タグを有効化: 請求設定で「コスト配分タグ」を有効化
Cost Explorer で分析: タグごとに費用を可視化
Cost and Usage Report (CUR): タグ別の詳細費用データ

SAA 試験のポイント

コスト配分タグは「有効化」が必要 です。タグを付与するだけでは Cost Explorer で集計されず、 Billing コンソールで「コスト配分タグを有効化」をクリックして初めて集計対象に。 SAA では「タグ付け + 有効化の 2 ステップ」が頻出します。

代表的な標準タグ

AWS が推奨する標準タグの例：

タグキー	値の例	用途
`env`	prod / dev / staging	環境分類
`project`	project-alpha	プロジェクト
`owner`	team-infra	責任チーム
`costcenter`	CC-1001	コストセンター
`createdate`	2026-01-15	作成日
`compliance`	hipaa / pci / none	コンプライアンス

SAA 頻出

標準タグのキーは組織で統一 する必要があります。 env と environment が混在すると集計不能。SAA では「タグキーの標準化」が基本原則です。

SAP レベル：高度な設計シナリオ

タグ戦略の全体設計

SAP では 組織全体のタグ戦略を体系的に設計 します。

SAP レベル：高度な設計シナリオ

SAP のタグ戦略は 「標準タグ定義 + タグポリシー (Organizations) + SCP で強制 + Config Rules で監視 + Cost Explorer で活用」 の 5 段構えです。タグ付けを「推奨」でなく「強制」にし、コスト可視化とガバナンスを両立します。

1. 標準タグ定義 (文書化)
   → どのキー / 値を使うか

2. タグポリシー (Organizations Tag Policy)
   → 標準タグのキー / 値を定義

3. SCP (Resource Control Policy)
   → 必須タグ未付与のリソース作成を拒否

4. Config Rules
   → 既存リソースのタグ不備を検知・修復

5. Cost Explorer / CUR
   → 標準タグで粒度細かいコスト分析

Organizations タグポリシー

Organizations タグポリシー はタグの標準化を定義します。

{
  "tags": {
    "Environment": {
      "TagKey": {
        "CaseSensitive": true
      },
      "TagValue": {
        "CaseSensitive": true,
        "Values": ["Production", "Development", "Staging"]
      }
    },
    "Project": {
      "TagKey": {
        "CaseSensitive": true
      }
    }
  },
  "enforcementMode": "enforce"
}

タグポリシーの限界

タグポリシー単体では強制力が弱い です。「不正なタグ値の付与を検知」はしますが、「必須タグ未付与のリソース作成を拒否」はしません。タグ付けを強制するには SCP (Resource Control Policy) と組み合わせる必要があります。

SCP によるタグ強制

SCP で「必須タグ未付与のリソース作成を拒否」するのが SAP の定石です。

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "DenyUntaggedResources",
      "Effect": "Deny",
      "Action": [
        "ec2:RunInstances",
        "ec2:CreateVolume"
      ],
      "Resource": "*",
      "Condition": {
        "StringNotEquals": {
          "aws:RequestTag/Environment": "*"
        },
        "Null": {
          "aws:RequestTag/Environment": "false"
        }
      }
    }
  ]
}

SCP タグ強制の適用範囲

SCP でタグ強制できるのは「リソース作成時」 です。既存リソースのタグ不備は SCP では検知できず、Config Rules で別途監視 が必要。「作成時ブロック (SCP) + 既存監視 (Config)」の 2 段構えが SAP 定石です。

Config Rules によるタグ監視

Config Rules で既存リソースのタグ不備を継続検知します。

ルール	説明	設計論点
`required-tags`	必須タグの付与をチェック	AWS マネージドルール
カスタムルール	組織固有のタグ要件	Lambda で実装
自動修復	SSM Automation でタグ付与	是正的自動化

[Config Rule: required-tags]
  - 全 EC2 に env / project タグが必要
       │ (違反検知)
       ▼
[EventBridge] → [Lambda]
                    │
                    ├── 所有者へ通知
                    └── SSM Automation で自動タグ付与（一部ケース）

Config Rules 自動修復の論点

タグ不備は自動修復が難しい 場合があります（「正しいプロジェクト」が分からない等）。 SAP では「自動修復は一部、基本は所有者への通知」が現実的な定石です。所有者が確認して手動でタグ付与する運用フローが併用されます。

コスト可視化とタグの連携

タグを活用した コスト可視化 の設計：

活用方法	説明	設計論点
Cost Explorer	タグ別に費用を集計	部門別 / プロジェクト別
Cost and Usage Report (CUR)	詳細費用データを S3 に出力	Athena + QuickSight で BI
Budgets	タグ別の予算設定	超過アラート
Cost Categories	タグをグループ化したコスト分類	複数タグの統合

[タグ付きリソース] → [Cost and Usage Report (S3)]
                          │
                          ▼
                    [Athena] でクエリ
                          │
                          ▼
                    [QuickSight] でダッシュボード
                          │
                          ▼
                    部門別 / プロジェクト別のコスト可視化

CUR + Athena の利点

Cost Explorer だけでは詳細分析が限界 です。CUR を S3 に出力し、 Athena で SQL クエリ、QuickSight でダッシュボード とすると、「プロジェクト × 環境 × 月」等の多軸分析が可能。SAP ではこの BI 構成が定石です。

自動化とタグの連携

タグを活用した 自動化 の設計：

自動化	タグ利用方法	設計論点
自動停止 / 起動	`env=dev` は夜間停止	コスト削減
バックアップ対象	`backup=daily` のリソースだけ	AWS Backup 連携
セキュリティスキャン	`compliance=pci` のリソースを重点	Inspector / Macie
ライフサイクル	`createdate` で古いリソース検知	不要リソース削除

自動化とタグの危険性

タグベースの自動化は「タグ付けミス」で誤動作 するリスクがあります。例えば env=prod にミスタグすると、本番リソースが夜間停止される事故に。 SAP では「自動化の対象は慎重に、かつタグ付けは強制」が定石です。

タグ戦略のロールアウト

SAP では タグ戦略を段階的にロールアウト します。

段階	内容	目的
1. 標準定義	必須タグキー / 値を文書化	合意形成
2. タグポリシー適用	Organizations で標準化	推奨ベース
3. Config 監視	タグ不備の可視化	現状把握
4. SCP 強制	新規リソースのタグ強制	予防的ガードレール
5. 既存リソース是正	Config + 通知で既存タグ付与	是正的ガードレール

段階ロールアウトの重要性

いきなり SCP でタグ強制 すると、既存リソース作成フローが全部ブロックされる事故に。 SAP では「まず可視化 → 段階的に強制」のロールアウトが鉄則です。

タグ付けのベストプラクティス

ベストプラクティス	説明	設計論点
キーの標準化	`env` と `environment` の混在回避	一意のキー
値の列挙	`prod / dev / staging` のみ許可	タグポリシーで定義
大文字小文字	CaseSensitive を統一	タグポリシーで指定
最小限の必須タグ	多すぎると運用負荷増	5〜10 個程度
自動付与の活用	Account Factory で標準タグ付与	手動ミス防止

必須タグの精選

必須タグは多すぎると運用負荷が増大 します。「全部のタグを必須」にするとエンドユーザーがリソース作成しづらくなる。SAP では「最低限の必須タグ + 推奨タグ」の階層化が定石です。必須は 5 個程度、推奨は必要に応じて。

制約と考慮事項

項目	制約 / 注意
1 リソースあたりタグ	最大 50 個
コスト配分タグ	有効化が必要
タグポリシー	単体では強制力弱
SCP タグ強制	作成時のみ（既存は Config）
全リソース対応	一部リソースはタグ非対応

まとめ

SAA: タグはリソースのメタデータ、コスト配分タグは有効化が必要、標準タグキーの統一、を理解する。
SAP: タグ戦略の全体設計（標準 + タグポリシー + SCP + Config + Cost Explorer）、段階ロールアウト、自動化連携、必須タグの精選が求められる。

これで 27 記事の AWS 認定学習ガイドは完了です。ネットワーク接続、アイデンティティ、データ保護、セキュリティ監視、高可用性・DR、ガバナンス・マルチアカウントの全領域を SAA 基礎から SAP 高度設計まで体系的に整理しました。次は実践演習と模擬問題で知識を確定していきましょう。