Uma empresa criou uma nova organização no AWS Organizations com várias contas para equipes de desenvolvimento. Os desenvolvedores usam o AWS IAM Identity Center (AWS Single Sign-On) para acessar as contas. Para cada aplicação, as equipes de desenvolvimento devem aplicar uma tag de nome de aplicação predefinida aos recursos que criam. Um arquiteto de soluções deve permitir a criação de recursos somente se a tag de nome de aplicação tiver um valor aprovado. Qual solução atende a esses requisitos?

A criação de uma política de tags no AWS Organizations é a solução mais eficaz porque permite impor o uso de tags predefinidas e seus valores em todas as contas da organização. Essa política pode especificar que um recurso só pode ser criado se a tag de nome de aplicação tiver um valor aprovado, garantindo conformidade centralizada. As outras opções são menos adequadas: Um grupo do IAM com uma política de Allow condicional exigiria que a tag fosse especificada, mas não validaria se o valor da tag é um dos aprovados, nem seria facilmente aplicável em todas as contas de forma centralizada. Uma função de cross-account com uma política de Deny para recursos com a tag de nome de aplicação impediria a criação de recursos com essa tag, o que é o oposto do requisito. Um grupo de recursos no AWS Resource Groups serve para organizar e gerenciar recursos, não para validar ou impor políticas de tags durante a criação de recursos.