Uma empresa gerencia várias contas AWS com o AWS Organizations. As regras regulatórias exigem que contas de membro específicas sejam restritas a um conjunto predefinido de AWS Regions onde os recursos podem ser implantados. A marcação de recursos (resource tagging) deve ser imposta de acordo com um padrão de grupo e gerenciada centralmente com configuração mínima. Qual abordagem um arquiteto de soluções deve usar para implementar esses requisitos?

A abordagem correta é associar as contas de membro a uma nova Organizational Unit (OU) para aplicar políticas de forma granular. Uma Service Control Policy (SCP) com condições pode ser usada para restringir as AWS Regions permitidas, garantindo que os recursos só possam ser implantados nas regiões predefinidas. As SCPs são aplicadas centralmente no AWS Organizations e se propagam para as contas da OU, impondo as restrições de forma eficaz. A política de tags pode ser aplicada na OU para garantir a conformidade com os padrões de marcação de recursos. A opção de criar uma regra do AWS Config em cada conta é menos eficiente e escalável, pois exige configuração individual e não impede a criação de recursos em regiões não permitidas, apenas os sinaliza. Desabilitar regiões no console de faturamento não oferece a granularidade necessária para contas específicas e não aborda a política de tags. Associar as contas diretamente à raiz com uma SCP para regiões e uma política de tags não é a melhor prática, pois a raiz deve ser usada com cautela e a criação de OUs permite uma organização e aplicação de políticas mais flexível e granular.