某组织使用 AWS Organizations 管理账户，并使用 AWS CloudFormation 部署所有基础设施。财务团队需要退款报告，并要求业务部门使用预定义项目值列表标记资源。当财务部门按项目筛选 AWS 成本和使用情况报告时，他们发现不合规的项目标签值。公司希望以最少的精力强制执行新资源的允许项目标签值。您应该怎么做？

正确答案通过在管理账户中创建标签策略来集中管理允许的项目标签值，确保整个组织的一致性。然后，通过创建服务控制策略（SCP）并将其附加到每个组织单位（OU），可以强制要求在创建CloudFormation堆栈时必须提供项目标签，并且标签值必须符合标签策略的规定。这种方法以最少的管理开销实现了强制性标签合规。 其他选项的不足之处在于： 在每个OU中创建标签策略会增加管理复杂性，因为需要为每个OU单独维护策略。 使用IAM策略附加到每个用户不如SCP有效，因为IAM策略是基于身份的，而SCP是基于资源的，并且在组织级别强制执行，更适合大规模合规性管理。 AWS Service Catalog虽然可以管理产品和标签，但它主要用于提供预批准的IT服务，而不是直接强制执行所有CloudFormation堆栈的标签合规性，且引入Service Catalog会增加额外的管理和使用复杂性。