Das Unternehmen verwendet AWS Organizations zur Verwaltung mehrerer Konten. Jede EC2-Instance muss ein Tag namens BusinessUnit für die Kostenverteilung enthalten. Eine Prüfung ergab, dass einigen Instances das Tag fehlte, und das Unternehmen hat diese manuell hinzugefügt. Wie sollte ein Solutions Architect das BusinessUnit-Tag in Zukunft durchsetzen?

Die korrekte Antwort ist die Erstellung einer Service Control Policy (SCP) und deren Anhängen an das Organisations-Root. Eine SCP kann verwendet werden, um Berechtigungen in den Mitgliedskonten einer Organisation zu steuern. Durch das Erzwingen des Vorhandenseins des BusinessUnit-Tags auf EC2-Instances verhindert die SCP, dass Benutzer Instances ohne dieses Tag starten oder ändern. Das Anhängen an das Root stellt sicher, dass die Richtlinie für alle Konten in der Organisation gilt. Tag-Richtlinien sind primär für die Standardisierung von Tags und die Berichterstattung über deren Einhaltung gedacht, bieten aber keine harte Durchsetzung, die das Erstellen von Ressourcen ohne die erforderlichen Tags verhindert. Sie würden lediglich als nicht konform markiert, aber die Ressource würde trotzdem erstellt. Das Anhängen an das Management-Konto anstelle des Roots würde die Richtlinie nur für das Management-Konto selbst gelten lassen, nicht aber für die anderen Mitgliedskonten.