Wie setzt du Tagging und Governance über eine große Cloud-Landschaft durch?

Mach den regelkonformen Weg zum einfachsten. Setz Tags automatisch in den Infrastructure-Code-Modulen und auf Account- oder Organization-Ebene, sodass die meisten Ressourcen getaggt sind, ohne dass jemand darüber nachdenkt, und erzwing sie dann mit Policies, die ungetaggte Ressourcen in Production ablehnen. Berichte die Abdeckung pro Team statt global, räum historische Lücken in Chargen auf, und halt den Pflicht-Tag-Satz klein genug, dass Leute ihn sich merken können.

Durchsetzung funktioniert nur, wenn Regelkonformität der Weg des geringsten Widerstands ist, ich automatisiere also zuerst und kontrolliere danach. Der Pflichtsatz bleibt klein, realistisch Owner, Umgebung, Kostenstelle und Datenklassifizierung, denn jedes zusätzliche Tag halbiert die Adoption. Dann werden die meisten davon vergeben, ohne dass sie jemand tippt: geteilte Infrastruktur-Module setzen sie aus Variablen, und Default Tags auf Provider- oder Account-Ebene decken alles ab, was über die Pipeline entsteht. Allein das bringt die Abdeckung meistens von etwa der Hälfte auf hohe neunzig Prozent. Für den Rest kommt eine Policy, die die Erstellung ungetaggter Ressourcen blockiert, und die rolle ich erst im Warn-Modus aus, dann durchsetzend in Non-Production, dann in Production, damit Teams Zeit bekommen statt eines überraschenden Fehlschlags. Berichtet wird pro Team, denn eine globale Compliance-Zahl ist niemandes Problem, während eine auf Teamebene einen Verantwortlichen hat. Für den Rückstand bestehender Ressourcen fahre ich eine Massen-Tagging-Aktion, bei der Owner bestätigen statt zu raten, und alles, was nach ein paar Erinnerungen niemand beansprucht, wird Kandidat fürs Abschalten, was bemerkenswert effektiv darin ist, Owner zu finden.