Uma empresa desenvolve vários projetos em diversas contas AWS sob a mesma AWS Organization. Os custos devem ser alocados ao projeto proprietário por meio de uma tag Project. A equipe de operações encontrou muitas instâncias EC2 sem a tag Project. Quais ações um arquiteto de soluções deve tomar para encontrar instâncias não marcadas atualmente e evitar que futuras instâncias sejam iniciadas sem a tag Project? (Escolha três.)

Para encontrar instâncias não marcadas, a criação de uma regra do AWS Config em cada conta é eficaz, pois o Config pode monitorar a conformidade de tags. Um agregador do AWS Config centraliza essas descobertas de todas as contas da organização, facilitando a visualização e o gerenciamento. Para prevenir futuras instâncias sem a tag, um Service Control Policy (SCP) na AWS Organization é a solução ideal. Ele pode negar a ação ec2:RunInstances se a tag 'Project' estiver ausente, aplicando essa restrição em todas as contas da organização de forma centralizada. O Amazon Inspector e o AWS Security Hub não são ferramentas primárias para auditoria de tags. Uma política do IAM em cada conta seria menos escalável e mais complexa de gerenciar do que um SCP centralizado.