如何为AWS Batch计算环境自动创建的ECS集群添加标签

问题根因 #

AWS Batch当前原生不会将计算环境层面配置的标签、EC2实例标签自动同步到其自动创建的关联ECS集群，因此创建集群时未携带billTo标签触发了显式拒绝策略。

可行解决方案 #

方案1：调整标签强制策略增加特殊豁免 #

在你的组织SCP或者账号级的显式拒绝策略中，给AWS Batch服务关联角色调用ecs:CreateCluster的操作增加条件豁免：

• 找到拒绝未带billTo标签创建ECS集群的策略语句
• 在Condition块中排除调用主体为Batch服务关联角色的场景，示例条件如下：

"Condition": {
  "StringNotLike": {
    "aws:PrincipalARN": "arn:aws:iam::*:role/aws-service-role/batch.amazonaws.com/AWSServiceRoleForBatch"
  },
  "Null": {
    "aws:RequestTag/billTo": "true"
  }
}

该方案对现有业务逻辑侵入最小，不需要额外开发。

方案2：通过EventBridge+Lambda实现ECS集群自动打标 #

如果不允许修改强制策略，可以配置自动化规则为Batch创建的ECS集群实时补打标签：

1. 创建EventBridge规则，匹配ECSCreateCluster事件，且集群名称匹配Batch自动生成的规则（默认前缀为AWSBatch_*）
2. 关联Lambda函数，触发后自动为该ECS集群追加要求的billTo等标签
3. 给Lambda授予ECS打标签的对应权限即可
   该方案完全符合强制标签要求，不需要调整现有权限策略。

方案3：使用AWS Batch标签传播功能（推荐） #

当前AWS Batch已经支持将计算环境的标签传播到所有关联资源，包括ECS集群、EC2实例、EBS卷等。你只需要在调用CreateComputeEnvironment API或者控制台创建计算环境时，将propagateTags参数设置为true即可，配置后计算环境上的所有标签会自动同步到自动创建的ECS集群。

注意：如果使用旧版本SDK或者未上线该功能的区域，可以优先选择前两个方案。

内容的提问来源于stack exchange，提问作者jrhode2