A DataWorks exige que toda nova instância EC2 e toda nova instância de banco de dados RDS incluam as tags CostCenter e DataOwner no momento da criação em todas as contas da organização. O controle deve ser preventivo. Qual é a MELHOR maneira de atender a esse requisito?

A SCP (Service Control Policy) na raiz da organização é a melhor maneira de garantir o controle preventivo em todas as contas, pois ela nega a ação antes que o recurso seja criado se as tags obrigatórias não estiverem presentes. As Políticas de Tag do AWS Organizations são para padronização e detecção, não para prevenção. As regras do AWS Config são reativas, corrigindo após a criação do recurso, o que não atende ao requisito de controle preventivo. Os limites de permissão do IAM precisariam ser aplicados em cada conta individualmente, o que é menos escalável e mais propenso a erros do que uma SCP centralizada.