Etiquetado en AWS, Azure y Google Cloud: cómo encontrar el gasto sin dueño y corregirlo con AAA Sentinel

Llega la factura de la nube y alguien pregunta qué equipo ha gastado más. Si la mitad de tus recursos no lleva etiquetas, la respuesta honesta es «no lo sabemos». El etiquetado es la base de cualquier reparto de costes y, a la vez, la tarea que todo el mundo deja para después. En este artículo repasamos qué etiquetas merece la pena usar en AWS, Azure y Google Cloud, y cómo AAA Sentinel te ayuda a medir la cobertura, priorizar lo que más cuesta y etiquetarlo sin salir de la plataforma.

Por qué el gasto sin etiquetar es un problema

Un recurso sin etiquetas cuesta lo mismo que uno etiquetado, pero no tiene dueño. No aparece en el informe de ningún equipo, nadie lo revisa cuando sube y nadie se atreve a apagarlo cuando deja de hacer falta. Y el problema crece solo: los recursos se crean deprisa «y ya lo etiquetaremos», la política de etiquetado llega cuando ya hay cientos sin etiquetar, y etiquetar a posteriori es un trabajo manual que nunca se prioriza.

Qué ganas con ello

Con una cobertura de etiquetas alta, la conversación sobre el gasto cambia:

• Cada equipo ve qué parte del gasto es suya y responde de ella.
• Encuentras antes los recursos olvidados: lo que no tiene dueño es el primer candidato a revisión.
• Los informes por equipo, proyecto o centro de coste dejan de tener un gran agujero de «otros».
• Puedes automatizar con más seguridad: saber qué es producción y qué es desarrollo es lo primero que necesita cualquier apagado programado.

Las cinco etiquetas de gobierno

No hace falta un esquema de veinte claves. AAA Sentinel trabaja con cinco etiquetas de gobierno que cubren casi todo lo que necesita un equipo FinOps:

• Environment: production, staging, development. Separa lo que no se puede tocar de lo que se puede apagar.
• Project: el producto o la aplicación. Da el coste total de cada producto.
• Owner: la persona o el equipo responsable. Es a quien se pregunta cuando algo sube.
• CostCenter: el centro de coste contable, para cuadrar con finanzas.
• Team: el equipo que lo opera, base del chargeback interno.

AWS, Azure y Google Cloud: lo que cambia

La idea es la misma en las tres nubes, pero los detalles no:

• AWS: las etiquetas distinguen mayúsculas y minúsculas. Las Tag Policies de AWS Organizations ayudan a imponer el esquema, y para ver una etiqueta en Cost Explorer hay que activarla antes como etiqueta de asignación de costes en Billing.
• Azure: los recursos no heredan por defecto las etiquetas de su grupo de recursos. Puedes forzarlo con Azure Policy (la política que hereda una etiqueta del grupo de recursos) o activar la herencia de etiquetas en Cost Management, que sólo afecta a los datos de coste.
• Google Cloud: para costes se usan labels, no tags (los tags de Google Cloud sirven para políticas y firewall). Las labels sólo admiten minúsculas, números, guiones y guiones bajos, así que usa environment, team o costcenter.

Etiquetar desde el origen con IaC

La forma más fiable de que un recurso nazca etiquetado es definir las etiquetas en la infraestructura como código. En Terraform, el bloque default_tags del provider de AWS y default_labels del provider de Google aplican las etiquetas a todo lo que crea ese provider. En Azure no hay un equivalente a nivel de provider: lo habitual es un mapa común de etiquetas que se fusiona en cada recurso, más una Azure Policy que rechace o complete lo que llegue sin ellas.

provider "aws" {
  region = "eu-west-1"

  default_tags {
    tags = {
      Environment = "production"
      Project     = "tienda"
      Owner       = "equipo-plataforma"
      CostCenter  = "cc-ventas"
      Team        = "plataforma"
    }
  }
}

Cómo lo resuelve AAA Sentinel

AAA Sentinel aborda el etiquetado desde cuatro sitios, todos alimentados por el mismo escaneo de tus cuentas:

• Tres reglas de gobierno, incluidas en todos los planes, que crean un hallazgo por cada recurso sin las etiquetas mínimas. Las ves en Hallazgos activos y en Reglas de análisis.
• La página Estrategia de tagging (plan Pro), que mide la cobertura de cada cuenta, estima el gasto sin atribuir y ordena los recursos sin etiquetar por coste.
• El botón «Etiquetar» (plan Business), que prepara una automatización con los valores que tú escribes; el agente la ejecuta cuando alguien la aprueba.
• Los informes Por etiquetas (plan Pro) y Chargeback (plan Business), que muestran cómo queda repartido el gasto.

Las tres reglas: qué cuenta exactamente

Cada nube tiene su regla, y no miden exactamente lo mismo:

• Con dos etiquetas de gobierno, el hallazgo se cierra solo en el siguiente escaneo. No hace falta marcarlo como resuelto.
• El hallazgo indica qué etiquetas tiene el recurso y cuáles faltan, y no estima ahorro: su valor está en poder atribuir el coste, no en reducirlo.

Caso práctico: ACME

ACME, una empresa ficticia, tiene su tienda online en una cuenta de AWS. Lleva dos años creando recursos a mano y con Terraform, y finanzas quiere repartir la factura por equipo. Tras el primer escaneo, Estrategia de tagging muestra esto:

Paso 1: leer Estrategia de tagging

La página está en el menú, en Estrategia de tagging, y trabaja sobre el último escaneo completado de la cuenta que elijas arriba. De arriba abajo:

• Cuatro indicadores: Recursos etiquetables, Bien etiquetados (los que tienen al menos dos de las cinco etiquetas), Coste sin atribuir y las cinco Tags de gobierno.
• Salud de tagging: un diagnóstico según el porcentaje bien etiquetado. ACME, con un 55 %, queda en cobertura moderada.
• Cobertura por etiqueta de gobierno: qué porcentaje de recursos lleva cada una de las cinco. Suele delatar la etiqueta que nadie pone; en ACME es CostCenter.
• Cobertura por tipo de recurso: la tabla del caso práctico, ordenada por coste sin etiquetar.
• Recursos sin etiquetar con mayor coste: los diez más caros, con las etiquetas que ya tienen.
• Recomendaciones: la etiqueta y el tipo de recurso con peor cobertura, un aviso si el gasto sin atribuir es alto y el recordatorio de llevar las etiquetas a tu IaC.

Paso 2: etiquetar los recursos más caros sin salir de la plataforma

En ACME, el primero de la lista es orders-db, la base de datos RDS de pedidos: sólo lleva Project=tienda, una etiqueta de gobierno de cinco. Con el plan Business, el botón «Etiquetar» de esa fila abre la ventana «Automatizar este hallazgo»:

• La ventana explica qué se va a hacer, el impacto y cómo revertirlo, y en Parámetros pide un valor para cada etiqueta de gobierno que falta. ACME escribe Environment=production, Owner=equipo-pagos, CostCenter=cc-pagos y Team=pagos.
• Al pulsar «Crear automatización» no se ejecuta nada todavía: la acción queda pendiente de aprobación en Agente IA, y el botón de la fila pasa a «Pendiente».
• Cuando alguien con permiso de aprobación (propietario, administrador o aprobador) la aprueba, el agente escribe las etiquetas en el recurso. Es una acción de riesgo bajo y sin periodo de espera.
• El agente añade las claves indicadas y no toca el resto de etiquetas del recurso. Antes de escribir guarda el valor anterior de las claves que ya existían, para poder deshacer el cambio.
• En el siguiente escaneo, orders-db ya tiene cinco etiquetas de gobierno y su hallazgo desaparece.
• Los recursos que no están entre los diez primeros se etiquetan igual desde su hallazgo, en Hallazgos activos.

Paso 3: seguir la evolución en Por etiquetas

Tras el siguiente escaneo, Informes → Por etiquetas enseña la Cobertura de etiquetado de cada una de las cinco claves en la cuenta elegida, junto a los hallazgos por región y por tipo de recurso y el desglose del gasto por servicio. Es la vista rápida para seguir el progreso. ACME se fija como meta que ninguna clave quede por debajo del 80 %, que es también el umbral a partir del cual la plataforma deja de recomendar esa etiqueta.

Paso 4: Chargeback, sabiendo cómo se calcula

Con el plan Business, Informes → Chargeback reúne todas tus cuentas: gasto total, Desglose por cuenta, servicios más caros y una Distribución por cada etiqueta de gobierno, que separa el gasto en Etiquetado y Sin asignar. Conviene saber qué hay detrás:

• El reparto es por cobertura, no por valor: si el 60 % de los recursos de una cuenta lleva Team, el 60 % de su gasto aparece como Etiquetado. Todavía no separa Team=pagos de Team=tienda.
• Para repartir por valor, y cubrir con reglas de etiquetado virtual lo que no está etiquetado, está el reparto de costes sobre la factura FOCUS. Lo contamos en «De la factura cloud al coste por pedido: reparto por centro de coste y coste unitario en AWS, Azure y Google Cloud».
• Aun así, la parte Sin asignar es la cifra que hay que bajar, y funciona bien como indicador mensual para el comité FinOps.

Qué no hace todavía

Para que no haya sorpresas:

• No impide crear recursos sin etiquetas: eso se hace en la nube, con Tag Policies, Azure Policy o comprobaciones en tu pipeline de IaC.
• No etiqueta en masa con un clic: cada recurso es una automatización con sus valores y su aprobación.
• No reconoce claves con otra ortografía: CostCenter o costcenter sí; Cost-Center o cost_center, en AWS y Azure, no. En Google Cloud, donde las labels van en minúsculas, valen cost-center, cost_center y costcenter, y env cuenta como environment.
• Las cifras de coste sin atribuir son estimaciones a partir del coste de cada servicio, no un reparto recurso a recurso.

Checklist para empezar

Con esto en marcha, la próxima vez que alguien pregunte de quién es un gasto tendrás respuesta, y la parte sin dueño se irá reduciendo cada mes.

• Cinco claves acordadas y escritas siempre igual: Environment, Project, Owner, CostCenter y Team.
• default_tags o default_labels en tu IaC, y una política en la nube que frene lo que llegue sin etiquetas.
• Las cuentas conectadas y escaneadas, y los hallazgos de gobierno revisados en Hallazgos activos.
• Estrategia de tagging revisada cada semana, empezando por los recursos más caros.
• El permiso de escritura del agente habilitado si vas a etiquetar desde la plataforma (plan Business).
• Una meta de cobertura por clave, por ejemplo el 80 %, y la parte Sin asignar del Chargeback como indicador mensual.