Comment imposez-vous l'étiquetage et la gouvernance sur un grand parc cloud ?

Faites du chemin conforme le chemin facile. Appliquez les tags automatiquement dans les modules d'infrastructure as code et au niveau du compte ou de l'organisation pour que la plupart des ressources soient étiquetées sans que personne n'y pense, puis imposez avec des politiques qui refusent de créer des ressources non étiquetées en production. Rapportez la couverture par équipe plutôt que globalement, corrigez l'historique par lots, et gardez l'ensemble de tags obligatoires assez petit pour que les gens s'en souviennent.

L'application des règles ne marche que si la conformité est le chemin de moindre résistance, donc j'automatise d'abord et je surveille ensuite. L'ensemble obligatoire reste petit, réalistement propriétaire, environnement, centre de coûts et classification des données, parce que chaque tag supplémentaire divise l'adoption par deux. Ensuite la plupart sont appliqués sans que personne ne les tape : les modules d'infrastructure partagés les posent depuis des variables, et les tags par défaut au niveau du fournisseur ou du compte couvrent tout ce qui est créé par la chaîne de déploiement. Rien que ça fait en général passer la couverture d'environ la moitié à plus de quatre-vingt-dix pour cent. Ce qui reste reçoit une politique qui bloque la création de ressources non étiquetées, et je la déroule d'abord en mode avertissement, puis en application hors production, puis en production, pour que les équipes aient du temps plutôt qu'un échec surprise. Le rapport est par équipe, puisqu'un chiffre global de conformité n'est le problème de personne alors qu'un chiffre par équipe a un propriétaire. Pour l'arriéré de ressources existantes, je mène un exercice d'étiquetage en masse avec les propriétaires qui confirment plutôt que je devine, et tout ce que personne ne réclame après quelques relances devient candidat à l'extinction, ce qui est remarquablement efficace pour retrouver des propriétaires.