Uma empresa executa workloads de produção e não produção em várias contas da AWS que fazem parte de uma organização no AWS Organizations. A empresa precisa de uma solução que impeça a modificação de tags de uso de custo. Qual solução satisfaz esse requisito?

Uma Política de Controle de Serviço (SCP) é a solução correta porque permite que você defina permissões máximas para todas as contas em uma organização no AWS Organizations. Você pode criar uma SCP que negue explicitamente a ação de modificar tags (por exemplo, aws:TagResources ou aws:UntagResources) para todos, exceto para as entidades autorizadas que você especificar. Isso garante que as tags de uso de custo permaneçam consistentes e não sejam alteradas indevidamente em todas as contas. Uma regra personalizada do AWS Config pode detectar modificações, mas não as impede. Um trilha personalizada no AWS CloudTrail registra eventos, mas também não impede ações. Logs personalizados do Amazon CloudWatch são para monitoramento e análise, não para prevenção de ações.