Amazon Web Services 文档中描述的 Amazon Web Services 服务或功能可能因区域而异。要查看适用于中国区域的差异，请参阅 中国的 Amazon Web Services 服务入门 (PDF)。

Amazon 已将标签编辑器标签管理功能从 Amazon Resource Groups 控制台移至 Amazon 资源探索器 控制台。使用资源管理器，您可以搜索和筛选资源，然后从单个控制台管理资源标签。要了解有关在资源管理器中管理资源标签的更多信息，请查看资源管理器用户指南中的管理资源。

本文属于机器翻译版本。若本译文内容与英语原文存在差异，则一律以英文原文为准。

Amazon Organizations 标签政策

标签策略 是您在 Amazon Organizations中创建的一种策略。您可以使用标签策略帮助在组织账户中跨资源标准化标签。要使用标签策略，我们建议您按照Amazon Organizations 用户指南中的标签策略入门所述的工作流程来进行操作。如该页面所述，建议的工作流程包括查找和更正不合规标签。要完成这些任务，您需要使用标签编辑器控制台。

先决条件和权限

在标签编辑器中评估标签策略的合规性之前，必须满足相应要求并设置必要的权限。

评估标签策略合规性的先决条件

评估标签策略合规性要求以下内容：

评估账户合规性的权限

在账户资源上查找不合规标签需要以下权限：

以下示例 Amazon Identity and Access Management (IAM) 策略提供了评估账户标签合规性的权限。

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "EvaluateAccountCompliance",
            "Effect": "Allow",
            "Action": [
                "organizations:DescribeEffectivePolicy",
                "tag:GetResources",
                "tag:TagResources",
                "tag:UnTagResources"
            ],
            "Resource": "*"
        }
    ]
}

有关 IAM 策略与权限的更多一般信息，请参阅 IAM 用户指南。

评估组织范围合规性的权限

评估组织范围的标签策略合规性需要以下权限：

如果发送报告的 Amazon S3 存储桶通过 SSE-KMS 加密，则您还必须拥有该存储桶的kms:GenerateDataKey权限。

以下 IAM policy 示例提供了用于评估组织范围的合规性的权限。用你自己的信息替换每一个placeholder信息：

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "EvaluateAccountCompliance",
            "Effect": "Allow",
            "Action": [
                "organizations:DescribeEffectivePolicy",
                "tag:StartReportCreation",
                "tag:DescribeReportCreation",
                "tag:GetComplianceSummary",
                "s3:ListAllMyBuckets"
            ],
            "Resource": "*"
        },
        {
            "Sid": "GetBucketAclForReportDelivery",
            "Effect": "Allow",
            "Action": "s3:GetBucketAcl",
            "Resource": "arn:aws:s3:::bucket_name",
            "Condition": {
                "StringEquals": {
                    "aws:CalledViaLast": "tagpolicies.tag.amazonaws.com"
                }
            }
        },
        {
            "Sid": "GetObjectForReportDelivery",
            "Effect": "Allow",
            "Action": "s3:GetObject",
            "Resource": "arn:aws:s3:::*/tag-policy-compliance-reports/*",
            "Condition": {
                "StringEquals": {
                    "aws:CalledViaLast": "tagpolicies.tag.amazonaws.com"
                }
            }
        },
        {
            "Sid": "PutObjectForReportDelivery",
            "Effect": "Allow",
            "Action": "s3:PutObject",
            "Resource": "arn:aws:s3:::bucket_name/AwsTagPolicies/organization_id/*",
            "Condition": {
                "StringEquals": {
                    "aws:CalledViaLast": "tagpolicies.tag.amazonaws.com"
                },
                "StringLike": {
                    "s3:x-amz-copy-source": "*/tag-policy-compliance-reports/*"
                }
            }
        }
    ]
}

有关 IAM 策略与权限的更多一般信息，请参阅 IAM 用户指南。

使用 Amazon S3 存储桶策略以存储报告

要创建组织范围的合规报告，您用来调用 StartReportCreation API 的身份必须能够访问美国东部（弗吉尼亚州北部）区域的 Amazon Simple Storage Service (Amazon S3) 存储桶，以存储该报告。标签策略使用调用身份的凭证将合规报告传送到指定的存储桶。

如果用于调用 StartReportCreation API 的存储桶和身份属于同一个账户，则此用例不需要其他 Amazon S3 存储桶策略。

如果与用于调用 StartReportCreation API 的身份关联的账户与拥有 Amazon S3 存储桶的账户不同，则必须将以下存储桶策略附加到该存储桶。用你自己的信息替换每一个placeholder信息：

{
    "Version": "2012-10-17", 
    "Statement": [ 
        { 
            "Sid": "CrossAccountTagPolicyACL", 
            "Effect": "Allow", 
            "Principal": {
                "AWS": "identity_ARN"
            }, 
            "Action": "s3:GetBucketAcl", 
            "Resource": "arn:aws:s3:::bucket_name"
         }, 
         { 
            "Sid": "CrossAccountTagPolicyBucketDelivery", 
            "Effect": "Allow", 
            "Principal": {
                "AWS": "identity_ARN"
            }, 
            "Action": "s3:PutObject", 
            "Resource": "arn:aws:s3:::bucket_name/AwsTagPolicies/organization_id/*"
         } 
    ] 
}