公司使用 AWS Organizations 管理多个账户。每个 EC2 实例都必须包含一个用于成本分配的 BusinessUnit 标签。审计发现有些实例缺少该标签，公司手动添加了它们。解决方案架构师应如何强制执行 BusinessUnit 标签？

正确的答案是使用服务控制策略 (SCP) 并将其附加到组织根。SCP 允许您为组织中的所有账户集中管理权限。通过在 SCP 中包含一个条件，要求在创建或修改 EC2 实例时必须存在 BusinessUnit 标签，可以有效强制执行标签策略。将其附加到组织根可确保该策略应用于组织中的所有账户。 其他选项不正确的原因： 标签策略（Tag Policies）主要用于定义标签的合规性规则，例如标签键和值的格式，但它们本身不直接阻止资源的创建或修改，如果缺少必需的标签。它们更侧重于审计和报告合规性，而不是强制执行。 将 SCP 附加到管理账户只会影响管理账户本身，而不会影响组织中的其他成员账户。为了在整个组织中强制执行，SCP 必须附加到组织根或相关的组织单元 (OU)。