Ein Unternehmen betreibt Produktions- und Nicht-Produktions-Workloads in mehreren AWS-Konten, die Teil einer Organisation in AWS Organizations sind. Das Unternehmen benötigt eine Lösung, die die Änderung von Kosten-Nutzungs-Tags verhindert. Welche Lösung erfüllt diese Anforderung?

Eine Service Control Policy (SCP) ist die effektivste Lösung, da sie es ermöglicht, Berechtigungen für alle Konten in einer AWS Organizations-Einheit zentral zu verwalten. Mit einer SCP können Sie explizit Aktionen wie ec2:CreateTags oder s3:PutBucketTagging für nicht autorisierte Prinzipale verweigern, wodurch die Änderung von Kosten-Nutzungs-Tags verhindert wird. Eine benutzerdefinierte AWS Config-Regel kann Änderungen erkennen und melden, aber nicht aktiv verhindern. Ein benutzerdefinierter CloudTrail-Trail protokolliert Änderungen, verhindert sie aber nicht. Benutzerdefinierte Amazon CloudWatch-Logs sammeln und überwachen Protokolle, bieten jedoch keine präventive Kontrolle über Aktionen.