A empresa usa o AWS Organizations para gerenciar várias contas. Toda instância EC2 deve incluir uma tag BusinessUnit para alocação de custos. Uma auditoria descobriu que algumas instâncias estavam sem a tag e a empresa as adicionou manualmente. Como um arquiteto de soluções deve impor a tag BusinessUnit daqui para frente?

A opção correta é criar uma Service Control Policy (SCP) e anexá-la à raiz da organização. As SCPs permitem definir permissões máximas para todas as contas membros em uma organização. Ao criar uma SCP que nega a criação de instâncias EC2 sem a tag BusinessUnit e anexá-la à raiz, você garante que essa regra seja aplicada a todas as contas, impedindo a criação de recursos não conformes. As políticas de tags (tag policies) no AWS Organizations são usadas para padronizar tags, mas não impedem a criação de recursos sem tags. Elas são mais para auditoria e conformidade. Anexar a SCP à conta de gerenciamento não garante a aplicação em todas as contas membros, pois a raiz é o ponto de controle mais abrangente.