AWS Resource Groups and Tagging v2.0 完全ガイド 2026

AWS リソースのタグベース管理・ガバナンス・コスト配分基盤

AWS Resource Groups and Tagging は、タグを活用して AWS リソースをグループ化し、一括管理・操作・可視化するサービス です。Tag Editor でクロスサービスのタグを一括編集し、リソースグループで関連リソースを論理的にグループ化して Systems Manager・Cost Explorer・IAM ポリシーと連携させ、組織全体のリソース管理・コスト配分・セキュリティ運用を効率化します。本ドキュメントは Resource Groups and Tagging の概念・実装・運用・最新動向を体系的に解説します。

ドキュメントの目的

本ガイドは以下を対象としています。

• 初心者向け：タグとは何か、リソースグループとは何かを学びたい方
• DevOps/SRE 向け：Systems Manager との連携・一括運用
• FinOps 向け：コスト配分タグ・Cost Explorer との連携
• セキュリティ向け：ABAC（Attribute-Based Access Control）の実装
• アーキテクト向け：組織全体のタグ戦略・ガバナンス設計

目次

1. 概要と本質
2. 課題解決
3. 主な特徴
4. アーキテクチャ
5. コアコンポーネント
6. タグの種類と設計
7. Tag Editor
8. リソースグループ
9. CloudFormation スタックグループ
10. システムタグ（自動付与）
11. コスト配分タグ
12. ABAC（属性ベースアクセス制御）
13. Systems Manager 統合
14. Cost Explorer 統合
15. IAM ポリシー統合
16. Resource Explorer（検索・可視化）
17. Organizations タグポリシー
18. CLI による実装例
19. SDK による実装例
20. Infrastructure as Code
21. タグ戦略ベストプラクティス
22. トラブルシューティング
23. 2025-2026 最新動向
24. 学習リソース
25. 実装チェックリスト
26. まとめ

概要と本質

初心者向けメモ：「タグ」は AWS リソースに付与するメタデータ（Key-Value）で、リソースの管理・検索・コスト配分・アクセス制御の基盤となります。

例：EC2 インスタンス
  ├── Tag: Environment=production
  ├── Tag: Project=payment-service
  ├── Tag: Owner=team-backend
  ├── Tag: CostCenter=engineering
  └── Tag: CreatedDate=2026-04-26

→ こういったタグを使い
  ├── Systems Manager で "Environment=production" の全インスタンスにパッチ適用
  ├── Cost Explorer で "CostCenter=engineering" のコスト集計
  ├── IAM で "Environment=production" へのアクセスを制限
  └── リソースグループで関連リソースを検索

課題解決

主な特徴

1. Tag Editor：クロスサービスのタグ一括管理

Tag Editor:
  ├── 条件検索：「Environment が未設定の EC2 インスタンス」
  ├── 一括操作：「見つかった全インスタンスに Owner=team-ops を追加」
  └── 複数リージョン・複数サービス対応

2. リソースグループ：論理的なグループ化

リソースグループ：
  ├── タグベース：Environment=production のリソース全てを自動グループ化
  ├── CloudFormation スタック：あるスタック全体をグループ化
  └── Systems Manager との連携で一括パッチ・在庫管理

3. コスト配分タグ：FinOps の基盤

コスト配分タグ：
  ├── Cost Explorer で自動集計
  ├── 請求書で行ごとの配分
  └── チャージバック・部門別コスト配賦を実現

4. ABAC（Attribute-Based Access Control）

従来の IAM Role 増加：
  ├── ProjectA_Dev_Role
  ├── ProjectA_Prod_Role
  ├── ProjectB_Dev_Role
  ├── ProjectB_Prod_Role
  └── スケール不可・組み合わせ爆発

ABAC（タグベース）：
  └── 「Project タグ = ProjectA AND Environment タグ = Dev」でアクセス制御

アーキテクチャ

リソース タグ グループ 統合アーキテクチャ

graph TB
    subgraph Resources["AWS リソース"]
        EC2["EC2 Instance<br/>tags: Env=prod,Project=api"]
        RDS["RDS Instance<br/>tags: Env=prod,Project=api"]
        LB["ALB<br/>tags: Env=prod,Project=api"]
    end
    
    subgraph Tagging["Tag Management"]
        TagEditor["Tag Editor<br/>タグ一括編集"]
        TagPolicy["Tag Policy<br/>強制・監査"]
    end
    
    subgraph Grouping["グループ化"]
        ResourceGroup["リソースグループ<br/>論理的グループ"]
    end
    
    subgraph Integration["統合・活用"]
        SM["Systems Manager<br/>一括パッチ"]
        CE["Cost Explorer<br/>コスト配分"]
        IAM["IAM ABAC<br/>タグベース制御"]
    end
    
    Resources -->|タグ付与| Tagging
    Tagging -->|グループ化| Grouping
    Grouping -->|連携| Integration

コアコンポーネント

1. タグ（Tag）

構造：
  Key: 値の名前（Environment、Project など）
  Value: 具体的な値（production、payment-service など）

制限：
  - Key：最大 128 文字
  - Value：最大 256 文字
  - リソースあたり最大 50 タグ

慣例：
  - Key は CamelCase（Environment ）
  - Value は kebab-case（payment-service）
  - タグは小文字推奨（検索時の一貫性）

2. Tag Editor

機能：
  ├── リソース検索：タイプ・リージョン・タグで条件検索
  ├── タグ一括追加：見つかったリソース全てにタグ追加
  ├── タグ一括削除：古いタグを一括削除
  ├── タグ値変更：既存タグ値を一括更新
  └── クロスリージョン対応：複数リージョン一括操作

3. リソースグループ

作成方法：
  ① タグベース：Resource Type と Tag Filters で動的グループ化
  ② CloudFormation スタック：スタック内のリソース自動グループ化

活用：
  ├── Systems Manager：グループ全体にコマンド実行
  ├── CloudWatch：グループ単位のダッシュボード
  ├── Well-Architected Tool：グループ単位の診断
  └── Cost Explorer：グループ単位のコスト分析（間接的）

タグの種類と設計

必須タグ（Mandatory Tags）

Environment:
  説明: リソースのライフサイクルステージ
  値: production, staging, development, sandbox
  用途: 本番・検証・開発の分離、ポリシー適用

Project:
  説明: プロジェクト・アプリケーション名
  値: payment-service, customer-portal, data-pipeline
  用途: プロジェクト単位のコスト配分、チーム割り当て

Owner:
  説明: リソース責任者・チーム
  値: team-backend, john.doe@company.com, devops-team
  用途: アラート通知、運用責任者特定、ABAC

CostCenter:
  説明: コストセンター・部門コード
  値: 1001（エンジニアリング）、1002（営業）
  用途: 請求書の部門別コスト配賦、FinOps

推奨タグ（Optional but Recommended）

Application:
  説明: アプリケーション名（Project より詳細）
  値: api-gateway, payment-processor, auth-service

Version:
  説明: バージョン・リリース番号
  値: v1.2.3, 2026-q2-release

ManagedBy:
  説明: インフラストラクチャ管理ツール
  値: terraform, cloudformation, manual

BackupPolicy:
  説明: バックアップ戦略
  値: daily, weekly, monthly, none

DataClassification:
  説明: データ感度レベル
  値: public, internal, confidential, restricted

Compliance:
  説明: 準拠要件
  値: pci-dss, hipaa, gdpr, sox

CreatedDate:
  説明: リソース作成日
  値: 2026-04-26

ExpirationDate:
  説明: リソース停止予定日
  値: 2026-12-31

自動タグ（System-generated Tags）

aws:cloudformation:stack-name:
  説明: CloudFormation スタック名
  付与元: CloudFormation（自動）
  
aws:cloudformation:stack-id:
  説明: CloudFormation スタック ID
  付与元: CloudFormation（自動）

aws:autoscaling:groupName:
  説明: ASG 名
  付与元: Auto Scaling Group（自動）

aws:eks:cluster-name:
  説明: EKS クラスター名
  付与元: EKS（自動）

Tag Editor

実装例

# リソース検索：Environment タグが未設定の EC2
aws resourcegroupstaggingapi get-resources \
  --resource-type-filters ec2:instance \
  --tag-filters Key=Environment,Values= \
  --query 'ResourceTagMappingList[*].ResourceARN' \
  --output table

# タグ一括追加
aws resourcegroupstaggingapi tag-resources \
  --resource-arn-list \
    arn:aws:ec2:ap-northeast-1:123456789012:instance/i-xxxxx \
    arn:aws:ec2:ap-northeast-1:123456789012:instance/i-yyyyy \
  --tags '{"Environment":"production","Project":"payment-service"}'

# タグ一括削除
aws resourcegroupstaggingapi untag-resources \
  --resource-arn-list \
    arn:aws:ec2:ap-northeast-1:123456789012:instance/i-xxxxx \
  --tag-keys TempTag,DeprecatedTag

# タグベースの合計容量確認
aws resourcegroupstaggingapi get-tag-values \
  --key Environment \
  --query 'TagValues'

リソースグループ

タグベースグループ作成

import boto3

rg = boto3.client('resource-groups')

# タグベースリソースグループ
group_response = rg.create_group(
    Name='production-api-resources',
    Description='All production API infrastructure',
    ResourceQuery={
        'Type': 'TAG_FILTERS_1_0',
        'Query': '{"ResourceTypeFilters":["AWS::AllSupported"],"TagFilters":[{"Key":"Environment","Values":["production"]},{"Key":"Project","Values":["payment-service"]}]}'
    }
)

group_arn = group_response['GroupArn']

# グループ内のリソース一覧
resources = rg.list_group_resources(GroupName='production-api-resources')

for resource in resources['ResourceIdentifiers']:
    print(f"Resource: {resource['ResourceArn']}")

CloudFormation スタックグループ作成

# CloudFormation スタック内のリソースをグループ化
group_response = rg.create_group(
    Name='payment-service-stack',
    Description='Resources from payment-service CloudFormation stack',
    ResourceQuery={
        'Type': 'CLOUDFORMATION_STACK_1_0',
        'Query': '{"ResourceTypeFilters":["AWS::AllSupported"],"StackIdentifier":"arn:aws:cloudformation:ap-northeast-1:123456789012:stack/payment-service/xxxxx"}'
    }
)

コスト配分タグ

Cost Explorer との連携

# コスト配分タグを有効化
aws ce activate-cost-allocation-tag \
  --arn arn:aws:ce:us-east-1:123456789012:application/costexplorer \
  --cost-allocation-tag-key Project \
  --cost-allocation-tag-status Active

# Cost Explorer でコスト分析
aws ce get-cost-and-usage \
  --time-period Start=2026-04-01,End=2026-04-30 \
  --granularity DAILY \
  --metrics UnblendedCost \
  --group-by Type=DIMENSION,Key=TAG \
  --query 'ResultsByTime[*].[TimePeriod.Start,Groups[*].[Keys[0],Metrics.UnblendedCost.Amount]]' \
  --output table

ABAC（属性ベースアクセス制御）

IAM ポリシー例

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "ec2:StartInstances",
        "ec2:StopInstances",
        "ec2:DescribeInstances"
      ],
      "Resource": "*",
      "Condition": {
        "StringEquals": {
          "aws:PrincipalTag/Project": "${aws:ResourceTag/Project}",
          "aws:PrincipalTag/Environment": "production"
        }
      }
    }
  ]
}

Systems Manager 統合

パッチマネージャー

# 「Environment=production」タグ付きの全インスタンスにパッチ適用

aws ssm create-patch-baseline \
  --name production-baseline \
  --operating-system AMAZON_LINUX_2 \
  --approval-rules 'ComplianceLevel=CRITICAL,ApproveAfterDays=0' \
  --description "Production baseline for all prod servers"

# パッチグループをタグでターゲット
aws ssm register-target-with-maintenance-window \
  --window-id mw-xxxxx \
  --target "Key=tag:Environment,Values=production" \
  --owner-information "Patch production servers" \
  --resource-type INSTANCE

Organizations タグポリシー

タグポリシー定義

{
  "tags": {
    "Environment": {
      "tag_key": {
        "@@assign": ["Environment"]
      },
      "enforced_for": {
        "@@assign": ["ec2:*", "rds:*", "s3"]
      },
      "tag_value": {
        "@@assign": ["production", "staging", "development"]
      }
    },
    "Project": {
      "tag_key": {
        "@@assign": ["Project"]
      },
      "enforced_for": {
        "@@assign": ["ec2:*", "rds:*"]
      }
    }
  }
}

ベストプラクティス

✅ 推奨事項

❌ 反パターン

CLI 実装例

# リソース検索・タグ操作フロー

# 1. Project=payment-service でリソース検索
aws resourcegroupstaggingapi get-resources \
  --tag-filters Key=Project,Values=payment-service \
  --region ap-northeast-1 \
  --query 'ResourceTagMappingList[*].[ResourceARN,Tags]'

# 2. 見つかったリソースの Owner タグを確認
aws resourcegroupstaggingapi get-resources \
  --tag-filters Key=Owner,Values=team-backend \
  --region ap-northeast-1

# 3. Owner タグを更新
aws resourcegroupstaggingapi tag-resources \
  --resource-arn-list \
    arn:aws:ec2:ap-northeast-1:123456789012:instance/i-xxxxx \
  --tags '{"Owner":"team-infra"}'

# 4. 古い環境タグ値を削除
aws resourcegroupstaggingapi untag-resources \
  --resource-arn-list \
    arn:aws:ec2:ap-northeast-1:123456789012:instance/i-yyyyy \
  --tag-keys OldEnvironment

# 5. リソースグループ作成
aws resource-groups create-group \
  --name payment-prod-group \
  --resource-query 'Type=TAG_FILTERS_1_0,Query={"ResourceTypeFilters":["AWS::AllSupported"],"TagFilters":[{"Key":"Project","Values":["payment-service"]},{"Key":"Environment","Values":["production"]}]}'

# 6. グループ内のリソース一覧
aws resource-groups list-group-resources \
  --group payment-prod-group

SDK 実装例

Python Boto3

import boto3

rgt = boto3.client('resourcegroupstaggingapi')
rg = boto3.client('resource-groups')

def find_resources_by_tags(filters):
    """タグで リソース検索"""
    response = rgt.get_resources(
        TagFilters=filters,
        ResourcesPerPage=100
    )
    
    for resource in response['ResourceTagMappingList']:
        print(f"Resource: {resource['ResourceARN']}")
        print(f"  Tags: {resource['Tags']}")

def add_tags_to_resources(resource_arns, tags):
    """リソースにタグ一括追加"""
    response = rgt.tag_resources(
        ResourceARNList=resource_arns,
        Tags=tags
    )
    
    print(f"Tagged {len(resource_arns)} resources")
    if response['FailedResourcesMap']:
        print(f"Failures: {response['FailedResourcesMap']}")

def create_resource_group(name, filters):
    """リソースグループ作成"""
    response = rg.create_group(
        Name=name,
        Description=f"Resource group for {name}",
        ResourceQuery={
            'Type': 'TAG_FILTERS_1_0',
            'Query': str({
                'ResourceTypeFilters': ['AWS::AllSupported'],
                'TagFilters': filters
            })
        }
    )
    
    return response['GroupArn']

# 使用例
filters = [
    {'Key': 'Environment', 'Values': ['production']},
    {'Key': 'Project', 'Values': ['payment-service']}
]

find_resources_by_tags(filters)

arns = ['arn:aws:ec2:ap-northeast-1:123456789012:instance/i-xxxxx']
add_tags_to_resources(arns, {'NewTag': 'new-value'})

group_arn = create_resource_group('payment-prod', filters)

Infrastructure as Code

Terraform タグ管理

# 組織全体のタグ標準
variable "common_tags" {
  type = map(string)
  default = {
    Environment = "production"
    Project     = "payment-service"
    Owner       = "team-backend"
    CostCenter  = "engineering"
    ManagedBy   = "terraform"
    CreatedDate = "2026-04-26"
  }
}

# EC2 インスタンスにタグ適用
resource "aws_instance" "api_server" {
  ami           = "ami-0c55b159cbfafe1f0"
  instance_type = "t3.medium"

  tags = merge(
    var.common_tags,
    {
      Name = "api-server-prod"
      Role = "api-gateway"
    }
  )
}

# リソースグループ作成（Terraform）
resource "aws_resourcegroups_group" "payment_prod" {
  name             = "payment-prod-group"
  description      = "Production payment service resources"
  resource_queries {
    query = jsonencode({
      "ResourceTypeFilters" = ["AWS::AllSupported"]
      "TagFilters" = [
        {
          "Key"    = "Project"
          "Values" = ["payment-service"]
        },
        {
          "Key"    = "Environment"
          "Values" = ["production"]
        }
      ]
    })
  }
}

トラブルシューティング

2025-2026 最新動向

1. Resource Explorer 統合強化

• 2026 年：Resource Explorer と Tag Editor の統合
• ✅ より高度な検索・フィルタリング
• ✅ 複数リージョン・複数アカウント横断検索

2. Generative AI による推奨タグ

• 2026 年以降：
• ✅ CloudFormation テンプレートから最適なタグを自動提案
• ✅ タグ設計自動化

学習リソース

• AWS Resource Groups User Guide
• Tag Editor Documentation

タグ戦略の実装パターン

スタートアップ（シンプル）

必須タグのみ：
  Environment: [production, staging, development]
  Project: [app-name]
  Owner: [email or team]

ガバナンス：
  Tag Editor で月 1 回確認
  自動タグ付与なし（CloudFormation で手動付与）
  
コスト：
  基本無料（リソース数少）

中規模組織（標準）

必須 + 推奨タグ：
  必須：Environment, Project, Owner, CostCenter
  推奨：Application, DataClassification, Backup Policy

ガバナンス：
  Organizations タグポリシー：必須タグ強制
  CloudFormation テンプレートにタグ埋め込み
  Tag Editor で月 1 回監査
  
コスト：
  Organizations タグポリシー：$ 0.10/リソース/月
  （推奨・省略可能）

エンタープライズ（複雑・高度）

多軸タグ設計：
  必須 4 個：Environment, Project, Owner, CostCenter
  推奨 8 個：Application, DataClassification, Compliance, Version, 
           BackupPolicy, ManagedBy, ExpirationDate, Business Unit
  オプション：カスタムメタデータ（60 個まで）

ガバナンス：
  Organizations タグポリシー：すべての必須タグを強制
  IAM ABAC：タグベースのアクセス制御
  自動タグ付与スクリプト（Lambda）：
    - 新規作成リソースに自動タグ付与
    - 定期的にタグ漏れをスキャン・通知
  Systems Manager パッチ・在庫管理
  Cost Explorer での詳細分析
  
監査・報告：
  週次レポート：タグ準拠率
  月次監査：漏れ・誤りの特定・修正
  四半期報告：コスト配分・チャージバック

FinOps・コスト最適化との連携

Cost Center 別コスト配分

# CostCenter タグで部門別コスト集計

aws ce get-cost-and-usage \
  --time-period Start=2026-04-01,End=2026-04-30 \
  --granularity MONTHLY \
  --metrics UnblendedCost \
  --group-by Type=TAG,Key=CostCenter \
  --output json | jq '.[].Groups[] | {CostCenter: .Keys[0], Cost: .Metrics.UnblendedCost}'

出力例：
{
  "CostCenter": "1001-Engineering",
  "Cost": "$25,432.50"
},
{
  "CostCenter": "1002-Sales",
  "Cost": "$8,921.30"
},
{
  "CostCenter": "1003-Operations",
  "Cost": "$12,456.80"
}

→ 部門ごとのコスト配賦・予算管理が可能

Project 別 ROI 分析

# Project タグで投資対効果を分析

import boto3
import pandas as pd

ce = boto3.client('ce')

# 過去 3 ヶ月のコスト取得
response = ce.get_cost_and_usage(
    TimePeriod={
        'Start': '2026-01-01',
        'End': '2026-04-30'
    },
    Granularity='MONTHLY',
    Metrics=['UnblendedCost'],
    GroupBy=[
        {'Type': 'TAG', 'Key': 'Project'}
    ]
)

# DataFrame に変換
data = []
for result in response['ResultsByTime']:
    for group in result['Groups']:
        data.append({
            'Period': result['TimePeriod']['Start'],
            'Project': group['Keys'][0],
            'Cost': float(group['Metrics']['UnblendedCost']['Amount'])
        })

df = pd.DataFrame(data)

# プロジェクト別合計
print(df.groupby('Project')['Cost'].sum())

# ROI = Revenue / Cost（別途 CRM・会計システムから取得）

自動タグ付与ワークフロー

Lambda による自動タグ付与

import boto3
import json

ec2 = boto3.client('ec2')
autotag_config = {
    'default_owner': 'unassigned-owner',
    'default_project': 'unassigned-project',
    'default_environment': 'development'
}

def lambda_handler(event, context):
    """新規 EC2 インスタンスに自動タグ付与"""
    
    # CloudTrail event から インスタンス ID を取得
    detail = event['detail']
    
    if detail['eventName'] == 'RunInstances':
        instance_ids = [
            item['instanceId']
            for item in detail['responseElements']['instancesSet']['items']
        ]
        
        # デフォルトタグを付与
        tags = [
            {'Key': 'Owner', 'Value': autotag_config['default_owner']},
            {'Key': 'Project', 'Value': autotag_config['default_project']},
            {'Key': 'Environment', 'Value': autotag_config['default_environment']},
            {'Key': 'AutoTagged', 'Value': 'true'},
            {'Key': 'CreatedDate', 'Value': detail['eventTime']}
        ]
        
        ec2.create_tags(
            Resources=instance_ids,
            Tags=tags
        )
        
        print(f"Tagged {len(instance_ids)} instances")
    
    return {
        'statusCode': 200,
        'body': json.dumps('Auto-tagging completed')
    }

# EventBridge ルール：EC2:RunInstances → Lambda 実行

Resource Explorer による高度な検索

複数リージョン・複数アカウント検索

# Resource Explorer：統一的なリソース検索

aws resource-explorer-2 search \
  --query-string 'tags.Environment = production AND tags.Project = payment-service' \
  --max-results 50

出力例：
{
  "Resources": [
    {
      "Arn": "arn:aws:ec2:ap-northeast-1:123456789012:instance/i-xxxxx",
      "Type": "aws:ec2:instance",
      "Region": "ap-northeast-1",
      "Tags": {
        "Environment": "production",
        "Project": "payment-service"
      }
    },
    ...
  ]
}

→ タグベースで統一検索・リソース可視化

実装チェックリスト

フェーズ 1：戦略・設計（1 週間）

• [ ] 組織全体のタグ戦略ドキュメント作成
• [ ] 必須タグ・推奨タグの定義
• [ ] タグネーミング統一ルール決定
• [ ] ABAC 設計（タグベース IAM ポリシー）
• [ ] コスト配分タグの特定

フェーズ 2：セットアップ（2-3 週間）

• [ ] Organizations タグポリシー作成・適用
• [ ] CloudFormation テンプレートにタグ組み込み
• [ ] Terraform 変数でタグ定義
• [ ] 自動タグ付与 Lambda 関数作成
• [ ] Tag Editor でテスト・検証

フェーズ 3：既存リソース対応（1-2 週間）

• [ ] Tag Editor で既存リソーススキャン
• [ ] タグ漏れリソース特定
• [ ] 一括タグ付与プロセス実行
• [ ] 例外リソース（テンプレート外）の手動対応

フェーズ 4：統合・運用（継続）

• [ ] Systems Manager パッチグループ設定
• [ ] Cost Explorer コスト配分タグ有効化
• [ ] IAM ABAC ポリシー実装
• [ ] リソースグループ作成・運用
• [ ] 月次タグ監査・レポート
• [ ] 定期的なタグ戦略見直し・更新

まとめ

AWS Resource Groups and Tagging は 「タグによるリソース管理・ガバナンス・コスト配分の基盤」。Tag Editor でクロスサービスのタグを一括管理し、リソースグループで論理的なグループ化を実現、Systems Manager・Cost Explorer・IAM と連携させ、組織全体の運用効率化を実現します。

成功の鍵：

1. 統一的なタグ戦略 で 組織横断の一貫性実現
2. Organizations タグポリシー で 強制・コンプライアンス確保
3. 自動タグ付与 で 人的ミス削減
4. ABAC 設計 で IAM 管理スケーラビリティ
5. 定期的な監査 で タグ品質維持

2025-2026 年は AI による推奨タグ・自動化がさらに進み、タグ管理がより効率化される見込みです。

最終更新：2026-04-26 バージョン：v2.0