Kostenzuordnungs-Tags: ein Tagging-Standard, der den Abrechnungs-Export übersteht

Ziel

Die Frage «was kostet Dienst X pro Monat, pro Umgebung, pro Team» aus dem Abrechnungs-Export des Anbieters beantworten, ohne manuelle Tabellenkalkulationen.

Voraussetzungen

Infrastruktur, die für die grosse Mehrheit der Ressourcen als Code definiert ist; Einigung darüber, wer die Kostenberichterstattung verantwortet; Zugang zur Abrechnungskonsole des zahlenden Kontos.

Schritte

1. Einen kleinen Pflicht-Schlüsselsatz wählen, typischerweise service, environment, owner (Team, nicht Person) und cost-center, plus optional component. Erlaubte Werte schriftlich festhalten; Freitext macht die Gruppierung zunichte.
2. Schreibregeln festlegen. Der zitierte AWS-Tagging-Leitfaden hält fest, dass Tag-Schlüssel und -Werte gross-/kleinschreibungssensitiv sind, sodass Environment=Prod und environment=prod zwei getrennte Töpfe ergeben; die zitierte Azure-Dokumentation behandelt Tag-Namen bei Operationen als nicht gross-/kleinschreibungssensitiv, Werte aber als sensitiv. Überall auf kleingeschriebene Schlüssel und Werte standardisieren.
3. Die Schlüssel für die Abrechnung aktivieren. Der zitierte AWS-Abrechnungsleitfaden erklärt, dass benutzerdefinierte und von AWS erzeugte Tags jeweils einzeln aktiviert werden müssen, bevor sie im Cost Explorer oder im Kostenzuordnungsbericht erscheinen, dass in einer Organisation nur das Verwaltungskonto Zugriff auf den Kostenzuordnungs-Tag-Manager hat und dass Tags bis zu 24 Stunden brauchen können, bis sie in der Abrechnungskonsole erscheinen. Das nachträgliche Auffüllen von Tags für vergangene Zeiträume ist als separates Verfahren dokumentiert, daher die Schlüssel früh aktivieren, statt sich darauf zu verlassen.
4. Tags über die providerseitigen Standard-Tags des Infrastructure-Codes anwenden, sodass jede vom Code erstellte Ressource sie trägt; die Schlüssel zu den Modulschnittstellen hinzufügen, damit ein Modul nicht ohne Owner instanziiert werden kann.
5. Bei der Erstellung per Policy erzwingen: eine Deny-Regel für die Ressourcenerstellung ohne die Pflichtschlüssel (Organisationsrichtlinie, Azure Policy, Admission-Kontrolle in Kubernetes für cloud-provisionierte Volumes und Load Balancer).
6. Sich nicht auf Vererbung verlassen: Die zitierte Azure-Dokumentation hält fest, dass Ressourcen Tags, die auf eine Ressourcengruppe oder ein Abonnement angewendet wurden, nicht erben, daher jede Ressource explizit taggen, statt anzunehmen, dass Kinder die Tags eines Elternteils tragen; gemeinsam genutzte Ressourcen (NAT-Gateways, Datenübertragung, Support-Pläne) lassen sich nie sauber einem Dienst zuordnen.
7. Jeden Monat die Kosten gruppiert nach den Pflichtschlüsseln exportieren, den ungetaggten Rest nach Dienst auflisten und die Ressourcen entweder taggen, die gemeinsamen Kosten nach einer schriftlichen Regel zuordnen oder sie explizit akzeptieren.

Erwartetes Ergebnis

Ein Abrechnungs-Export, in dem der ungetaggte Anteil klein und erklärt ist, sowie Kosten pro Dienst, die das verantwortliche Team als die eigenen erkennt.

Grenzen und Prüfbasis

Tags erfassen keine Ressourcen, die ausserhalb des Codes oder im Auftrag des Kunden durch verwaltete Dienste erstellt wurden, und Gebühren, die keiner taggbaren Ressource zugeordnet sind, bleiben im ungetaggten Rest; die zitierte Azure-Seite merkt an, dass nicht alle Ressourcentypen Tags unterstützen. Das Verhalten des Anbieters folgt der zitierten Dokumentation; es werden keine Kostenzahlen beansprucht.