Ein Unternehmen entwickelt mehrere Projekte über mehrere AWS-Konten hinweg unter derselben AWS Organization. Kosten müssen dem zuständigen Projekt über einen Project-Tag zugeordnet werden. Das Betriebsteam hat festgestellt, dass vielen EC2-Instances der Project-Tag fehlt. Welche Maßnahmen sollte ein Solutions Architect ergreifen, um aktuelle ungetaggte Instances zu finden und zu verhindern, dass zukünftige Instances ohne den Project-Tag gestartet werden? (Wählen Sie drei.)

Eine AWS Config-Regel in jedem Konto kann Ressourcen ohne den Project-Tag identifizieren und so aktuelle ungetaggte Instances finden. Ein AWS Config-Aggregator konsolidiert diese Informationen organisationsweit, um eine zentrale Übersicht zu erhalten. Um zukünftige Starts ungetaggter Instances zu verhindern, ist eine Service Control Policy (SCP) auf Organisationsebene mit einer Deny-Aktion für ec2:RunInstances effektiv, wenn der Project-Tag fehlt. Dies erzwingt die Tagging-Richtlinie für alle Konten. Amazon Inspector und AWS Security Hub sind primär für Sicherheitsbewertungen und Compliance-Checks gedacht, nicht für das Auffinden fehlender Tags. Eine IAM-Richtlinie würde nur für bestimmte Benutzer oder Rollen gelten und nicht organisationsweit greifen, was eine SCP in diesem Fall überlegen macht.