Uma organização no AWS Organizations (com todos os recursos habilitados) deve garantir que cada instância EC2 nas contas da organização tenha a chave de tag CostCenter e que o valor da tag seja um valor de centro de custo aprovado. Alguns desenvolvedores adicionam valores arbitrários para evitar notificações de um script de varredura. Qual abordagem impõe chaves de tag corretas e valores aprovados em toda a OU?

A opção correta combina uma SCP para impor a presença da chave de tag e uma política de tags para validar os valores. A SCP impede a criação de instâncias EC2 sem a tag CostCenter, garantindo que a tag esteja sempre presente. A política de tags, por sua vez, restringe os valores permitidos para CostCenter a uma lista aprovada, evitando valores arbitrários. Ambas as políticas são anexadas à OU para aplicação em todas as contas. O script de varredura é atualizado para identificar e corrigir instâncias não conformes, definindo um valor padrão aprovado, o que é uma medida proativa para manter a conformidade. As outras opções são incompletas ou menos eficazes: A segunda opção não restringe os valores da tag, permitindo que desenvolvedores continuem usando valores arbitráveis. A terceira opção usa um permission boundary do IAM, que é mais complexo de gerenciar em escala e não impede a criação inicial da instância com tags inválidas. A quarta opção usa uma função Lambda e EventBridge, que é uma solução reativa (após a criação da instância) e não impede a criação inicial sem a tag ou com um valor inválido.