Rekommenderat taggschema

Börja smalt. Fem till sju obligatoriska taggar räcker för att täcka merparten av styrningsbehoven. Utöka sedan med valfria taggar när behov uppstår.

Praktiska tips från Opsios SOC/NOC:

• Använd lowercase och bindestreck som namnkonvention — blandade versaler leder till dubbletter.
• Definiera tillåtna värden per tagg. Fritext i Environment-taggen ger snabbt varianter som "prod", "Prod", "production" och "PROD".
• Dokumentera schemat i ett centralt register (en enkel sida i Confluence eller Git-repo räcker).

Policyframtvingande per molnplattform

AWS: Service Control Policies (SCP)

SCP:er kan nekat resursskapande utan obligatoriska taggar på API-nivå — det innebär att resursen aldrig ens skapas om taggen saknas. Det är en kritisk skillnad mot efterhandstaggning.

Så här gör du i praktiken:

1. Skapa en SCP som kräver Owner, Application och Environment på EC2-instanser, RDS-databaser, S3-hinkar och Lambda-funktioner.

2. Tillämpa policyn på alla organisatoriska enheter (OU:er) i AWS Organizations.

3. Testa först i en sandbox-OU innan du rullar ut brett — annars riskerar du att blockera CI/CD-pipelines.

AWS stödjer dessutom Cost Allocation Tags som aktiveras i Billing Console, vilket gör att taggarna dyker upp direkt i Cost Explorer. Glöm inte att aktivera dem — det är ett steg som ofta missas.

Azure: Azure Policy

Azure Policy har inbyggda policydefinitioner som gör taggframtvingande smidigt:

• "Require a tag on resources" — nekar distribution om obligatorisk tagg saknas.
• "Inherit a tag from the resource group" — applicerar automatiskt resursgruppens taggar på underliggande resurser, vilket minskar manuellt arbete dramatiskt.

Tilldela policyer på management group-nivå för organisationsövergripande effekt. Använd Sweden Central som primär region för att hålla data inom Sveriges gränser, relevant för GDPR och eventuella krav från Integritetsskyddsmyndigheten (IMY).

GCP: Organisationspolicyer och etiketter

GCP använder labels istället för tags (som i GCP-terminologi avser nätverkskonfiguration). Framtvinga etiketter via organisationspolicyer och validera i CI/CD-pipelinen.

Läs mer om managerade molntjänster

Taggframtvingande i Infrastructure as Code (IaC)

Att framtvinga taggar via molnplattformens policyer fångar fel vid resursskapande. Men den verkliga försvarslinjen bör ligga tidigare i kedjan — i din IaC-pipeline.

Terraform: default_tags och pre-commit-validering

Lägg till default_tags i Terraform-providerns konfigurationsblock. Alla resurser ärver då automatiskt baslinjetaggar:

```hcl

provider "aws" {

region = "eu-north-1"

default_tags {

tags = {

Owner = "plattformsteam"

Environment = "production"

ManagedBy = "terraform"

}

}

}

```

Kombinera detta med statisk analys:

• Checkov eller tfsec skannar Terraform-konfigurationer och flaggar saknade taggar innan terraform apply körs.
• Integrera i CI/CD-pipelinen så att en pull request med saknade taggar aldrig kan mergas.

Läs mer om managerad DevOps

Övervakning och efterlevnad av taggar

Att införa taggar är steg ett. Att hålla efterlevnaden hög kräver kontinuerlig övervakning.

Daglig skanning

Använd AWS Config Rules eller Azure Policy Compliance Scan för att identifiera otaggade resurser dagligen. I Opsios NOC kör vi dessa skanningar som en del av vår standardövervakning — otaggade resurser genererar en incident precis som en hälsokontroll som misslyckas.

Veckorapport per team

Skapa en veckorapport som visar taggefterlevnad i procent per team. Det gör ansvaret konkret. Från vår erfarenhet: team som ser sina siffror förbättrar dem. Det handlar inte om kontroll, det handlar om synlighet.

Automatisk åtgärd

Resurser som skapas utan taggar bör automatiskt få standardvärden:

• Owner=unassigned
• Environment=unknown

En alert skickas till ansvarigt team. Resursen blockeras inte, men den syns som en avvikelse. Det är en pragmatisk mellanväg mellan att blockera allt (som kan stoppa produktion) och att acceptera otaggade resurser (som leder till kaos).

Gamification — det låter fånigt, men det fungerar

Publicera taggefterlevnad per team på en intern dashboard. Vänlig konkurrens driver beteendeförändring snabbare än policydokument. Vi har sett team gå från 60 % till 95 % efterlevnad inom veckor bara genom att göra siffrorna synliga.

Hur Opsio arbetar med taggstrategier

Vi på Opsio hanterar taggning som en del av vår styrningsmodell, inte som ett engångsprojekt:

Läs mer om molnsäkerhet

Vanliga frågor

Hur många taggar bör vi använda?

Börja med 5–7 obligatoriska taggar. AWS tillåter 50 per resurs, Azure 50 och GCP 64 etiketter. Fler taggar ger bättre granularitet men ökar underhållet. Vår rekommendation: lägg till valfria taggar efterhand baserat på faktiska behov, istället för att försöka designa ett heltäckande schema från dag ett.

Hur hanterar vi resurser som inte stödjer taggar?

Vissa resurser — exempelvis underresurser i managerade tjänster eller specifika nätverkskomponenter — saknar taggstöd. Lös detta genom kostnadsallokering på konto- eller prenumerationsnivå och tagga överordnade resurser. Dokumentera alla undantag i er taggpolicy så att ingen sitter och undrar varför vissa resurser inte syns i rapporten.

Vad händer med befintliga resurser som saknar taggar?

Kör en inventering med AWS Config, Azure Resource Graph eller motsvarande. Tagga retroaktivt via skript eller automatisering och sätt standardvärden (Owner=unassigned) på allt som inte kan identifieras direkt. Följ upp veckovis tills ni nått er målnivå.

Hur snabbt ser vi effekt av en taggstrategi?

Vår erfarenhet hos Opsio är att organisationer som framtvingar taggar via policy ser mätbar förbättring i kostnadsfördelning inom 2–4 veckor. Full efterlevnad över 95 % tar vanligtvis 2–3 månader, beroende på hur många konton och team som är involverade.

Räcker det med taggar för att uppfylla NIS2 och GDPR?

Taggar är en viktig pusselbit men inte en komplett lösning. De gör det möjligt att identifiera vilka resurser som omfattas av specifika regelverk, vilket dramatiskt förenklar revision och incidenthantering. Men du behöver fortfarande tekniska kontroller (kryptering, åtkomststyrning, loggning) och organisatoriska processer. Taggar ger strukturen som gör allt annat hanterbart.