---
title: "CTP Topic 28 AWS Tag Validation Tool"
type: cloud-learning
source-type: video
category: "DevOps & SRE/01_AWS-Landing-Zone"
tags:
  - AWS
  - Tagging
  - Validation
  - Tool
  - CTP
date-added: 2026-04-14
video-source: "nas:///volume2/work/Public Cloud Learning Sessions/CTP _ Topic 28_ AWS Tag Validation Tool.mp4"
audio-source: ""
status: summarized (Gemini 摘要)
---

# CTP Topic 28 AWS Tag Validation Tool

**Source:** NAS `/volume2/work/Public Cloud Learning Sessions/CTP _ Topic 28_ AWS Tag Validation Tool.mp4`

**Type:** VIDEO | **Category:** 01_AWS-Landing-Zone

**Status:** ✅ 已完成（Gemini 摘要）

---

## 摘要

> 本次视频由 Lewis Brown 主讲，重点介绍了由 SRE 团队开发的一款 **AWS 标签验证工具（AWS Tag Validation Tool）**。在 AWS 架构中，标签（Tags）不仅是简单的元数据（键值对），还直接影响网络安全。该组织使用的 Checkpoint 防火墙会读取 EC2 实例、安全组和负载均衡器的标签值来配置网络访问权限；如果标签无效或缺失，防火墙将拦截相关网络流量。
> 
> 虽然目前已通过服务控制策略（SCPs）在组织层面拦截了不合规资源的创建（目前主要应用于 SAS 账户），但对于大量已经存在的存量资源，仍需有效的审计手段。为此，Lewis 展示了这款基于 Python 和 Boto3 开发的工具。该工具通过读取包含各账户预定义合法标签值的 YAML 配置文件，自动扫描指定账户内的 EC2、安全组、负载均衡器及 Lambda 函数，并将扫描结果与预期值进行比对。
> 
> 工具最终会生成一份详尽的 CSV 报告，列出所有缺失或标签值错误的资源 ID 及其具体问题，极大提高了审计效率。在演示环节，Lewis 展示了如何通过 Poetry 管理 Python 环境并运行该脚本。此外，视频还讨论了标签在未来成本核算（Costing）中的潜在用途，即通过标签区分同一账户下不同产品的资源消耗。

---

## 关键概念

- **AWS Tags**: 附加在 AWS 资源上的元数据，以键值对（Key-Value pairs）形式存在，用于识别和管理资源。
- **Checkpoint Firewall**: 一种网络安全解决方案，在本案例中通过读取资源标签来动态配置和执行网络访问策略。
- **Service Control Policies (SCPs)**: AWS Organizations 的一种策略，用于集中管理组织中所有账户的最大可用权限，此处用于强制执行标签规范。
- **Boto3**: 适用于 Python 的 AWS SDK，允许开发者通过编写 Python 代码来调用 AWS 服务接口。
- **Poetry**: 一个 Python 依赖管理和打包工具，用于确保开发环境的一致性并简化工具的安装与运行。
- **variables.yaml**: 该工具的核心配置文件，定义了特定 AWS 账户所期望的合法标签键及其对应的允许值列表。
- **SRE Tools Repository**: 存放该验证工具及其他 SRE 自动化脚本的内部代码仓库。

---

## 相关视频

> [!info]+ 交叉引用
> [[CTP Topic 10 - AWS Tagging Deep Dive]] — 演讲者提到的相关视频，详细介绍了标签的技术细节与标准。
> [[AWS Landing Zone Governance]] — 关联原因：讨论了新旧登陆区（Landing Zone）中通过标签进行治理的背景。

## 相关视频

> 配对视频笔记链接（生成后填入）

---

*最后更新: 2026-04-14*
