Tags de alocação de custos: um padrão de tagging que sobrevive à exportação de faturamento

Objetivo

Responder "quanto custa o serviço X por mês, por ambiente e por equipe" a partir da exportação de faturamento do provedor, sem planilhas manuais.

Pré-requisitos

Infraestrutura definida em código para a grande maioria dos recursos; acordo sobre quem é responsável pelos relatórios de custos; acesso ao console de faturamento da conta pagadora.

Passos

1. Escolha um conjunto pequeno de chaves obrigatórias, tipicamente service, environment, owner (a equipe, não uma pessoa) e cost-center, mais um component opcional. Documente os valores permitidos; texto livre inviabiliza o agrupamento.
2. Fixe regras de grafia. O guia de tagging da AWS (citado) afirma que chaves e valores de tags diferenciam maiúsculas de minúsculas, de modo que Environment=Prod e environment=prod formam dois grupos distintos; a documentação do Azure (citada) trata os nomes de tags como insensíveis a maiúsculas e minúsculas nas operações, mas os valores como sensíveis. Padronize chaves e valores em minúsculas em todos os lugares.
3. Ative as chaves para faturamento. O guia de faturamento da AWS (citado) explica que tags definidas pelo usuário e tags geradas pela AWS precisam ser ativadas separadamente antes de aparecerem no Cost Explorer ou no relatório de alocação de custos, que, em uma organização, apenas a conta de gerenciamento tem acesso ao gerenciador de tags de alocação de custos, e que as tags podem levar até 24 horas para aparecer no console de faturamento. O preenchimento retroativo de tags para períodos passados está documentado como um procedimento à parte; por isso, ative as chaves cedo em vez de depender dele.
4. Aplique as tags por meio das default tags no nível do provider do código de infraestrutura, para que todo recurso criado pelo código as carregue; adicione as chaves às interfaces dos módulos, de modo que um módulo não possa ser instanciado sem um owner.
5. Imponha as regras na criação com políticas: uma regra de negação para a criação de recursos sem as chaves obrigatórias (política da organização, Azure Policy, admission control no Kubernetes para volumes e load balancers provisionados na nuvem).
6. Não conte com herança: a documentação do Azure (citada) afirma que os recursos não herdam tags aplicadas a um grupo de recursos ou a uma assinatura; portanto, marque cada recurso explicitamente em vez de presumir que os filhos carregam as tags do pai. Recursos compartilhados (NAT gateways, transferência de dados, planos de suporte) nunca se associam de forma limpa a um único serviço.
7. Todo mês, exporte os custos agrupados pelas chaves obrigatórias, liste por serviço o restante sem tags e então adicione as tags aos recursos, aloque o custo compartilhado por uma regra escrita ou aceite-o explicitamente.

Resultado esperado

Uma exportação de faturamento em que a parcela sem tags é pequena e explicada, e um custo por serviço que a equipe responsável reconhece como seu.

Limites e base de verificação

As tags não capturam recursos criados fora do código nem por serviços gerenciados em nome do cliente, e cobranças que não estão associadas a um recurso passível de tagging permanecem no restante sem tags; a página citada do Azure observa que nem todos os tipos de recurso suportam tags. O comportamento dos provedores segue a documentação citada; nenhum valor de custo é afirmado.