4. 成本分配与标签治理

在 Azure 成本治理中，标签是成本数据与业务语义之间的桥梁。账单原始数据只包含资源 ID、资源类型、资源组、订阅、计量单位、用量和费用，它并不知道“这笔钱属于哪个部门、哪个项目、哪个环境”。标签治理的目标，就是让每一笔可计费资源都能被稳定地映射到业务维度上，从而支撑成本分摊、预算控制、异常归因和优化决策。本节围绕标签策略设计、强制继承、资源组与订阅边界、标签修复与合规审计四个关键环节展开。

一、标签策略设计：先定义维度，再定义键值

标签治理失败最常见的原因不是技术问题，而是维度定义混乱。建议先确定成本分摊所需的业务维度，再为每个维度设计唯一的标签键。典型维度包括：成本中心（CostCenter）、业务单元（BusinessUnit）、项目（Project）、环境（Environment）、负责人（Owner）、应用系统（Application）。每个维度只允许一个标签键，避免出现 Dept、Department、department 三套写法并存。

键值规范同样重要。以环境为例，建议固定为 Prod、Test、Dev、Sandbox 四个枚举值，而不是让用户自由填写“生产”“正式”“prod-1”。成本中心建议使用财务系统中的标准编码，例如 CC-1024，而不是部门中文名。这样在成本管理导出数据后，可以直接用标签值做透视和分摊，不需要再做人工映射。

二、强制继承：让标签从上层自动落到资源

Azure 本身不会自动把订阅或资源组的标签继承到子资源。要实现强制继承，通常使用 Azure Policy 的 modify 效果，配合 addOrReplace 操作，在资源创建或更新时把父级标签写入资源。策略的典型结构是：先通过 if 判断资源缺少某个标签，再通过 then 从资源组或订阅继承该标签值。

{
  "if": {
    "allOf": [
      { "field": "tags['CostCenter']", "exists": "false" },
      { "field": "resourceGroup().tags['CostCenter']", "exists": "true" }
    ]
  },
  "then": {
    "effect": "modify",
    "details": {
      "operations": [
        {
          "operation": "addOrReplace",
          "field": "tags['CostCenter']",
          "value": "[resourceGroup().tags['CostCenter']]"
        }
      ]
    }
  }
}

这段策略的含义是：如果资源没有 CostCenter 标签，而它所在的资源组有该标签，就把资源组的标签值写到资源上。实际部署时，还需要为策略分配一个托管标识，并授予该标识对目标范围的“参与者”权限，否则 modify 无法写回标签。策略分配后，已有资源不会自动修复，需要触发一次修正任务（remediation task），对存量资源批量补齐标签。

三、资源组与订阅边界：把标签放在正确的层级

标签治理必须明确“标签应该打在哪一层”。订阅和资源组本身也可以有标签，但它们不会自动向下继承。因此，合理的做法是：把稳定、全局性的维度放在订阅或资源组标签上，例如 BusinessUnit、CostCenter；把资源特有的维度放在资源标签上，例如 Environment、Owner、Application。这样策略可以从资源组继承稳定维度，而资源级标签保留灵活性。

边界设计还要考虑权限。资源组是成本分摊和访问控制的最小管理单元，建议按“业务单元 + 环境”划分资源组，例如 rg-finance-prod、rg-finance-test。订阅则按“业务线”或“成本中心”划分，避免一个订阅里混入多个成本中心。这样即使某个资源漏打标签，也能通过资源组或订阅的标签做兜底分摊。

四、标签修复与合规审计：从“发现缺失”到“闭环补齐”

标签治理不是一次性配置，而是一个持续闭环。合规审计通常通过 Azure Policy 的合规性扫描完成：策略分配后，Azure 会定期评估每个资源是否符合标签要求，并在“合规性”页面显示合规、不合规、未启动等状态。对于不合规资源，可以按策略、按资源组、按资源类型筛选，导出 CSV 作为修复清单。

修复分两类。第一类是“可自动修复”的，例如资源缺少 CostCenter，但资源组已有该标签，此时直接运行修正任务即可批量补齐。第二类是“需要人工确认”的，例如资源缺少 Owner，而资源组也没有该标签，此时需要先补齐资源组标签，再对资源执行修正。修正任务执行后，建议等待 15～30 分钟再重新扫描，确认合规率是否提升。

为了让审计结果可量化，建议定义两个指标：标签覆盖率（已打标签资源数 / 应打标签资源数）和标签合规率（符合策略要求的资源数 / 总资源数）。覆盖率反映“有没有打”，合规率反映“打得对不对”。两者结合，才能判断标签治理是否真正支撑成本分摊。

五、落地检查清单

标签治理的最终检验标准，是成本管理导出数据后，能否在不做人工映射的前提下，直接按 CostCenter、BusinessUnit、Environment 完成分摊和归因。如果还需要手工补表，说明标签策略、继承或修复环节仍有缺口，应回到审计结果中定位具体资源并闭环处理。