Ein Unternehmen hat eine neue Organisation in AWS Organizations mit mehreren Konten für Entwicklungsteams erstellt. Entwickler verwenden AWS IAM Identity Center (AWS Single Sign-On), um auf Konten zuzugreifen. Für jede Anwendung müssen Entwicklungsteams eine vordefinierte Anwendungsnamensmarkierung auf die von ihnen erstellten Ressourcen anwenden. Ein Lösungsarchitekt muss die Ressourcenerstellung nur zulassen, wenn die Anwendungsnamensmarkierung einen genehmigten Wert hat. Welche Lösung erfüllt diese Anforderungen?

Die Erstellung einer Tag-Richtlinie in AWS Organizations ist die effektivste Lösung. Tag-Richtlinien ermöglichen es, die Verwendung von Tags in allen Konten einer Organisation zu standardisieren. Sie können festlegen, welche Tag-Schlüssel und -Werte zulässig sind, und so sicherstellen, dass nur genehmigte Anwendungsnamens-Tags verwendet werden. Wenn Entwickler versuchen, Ressourcen mit nicht konformen Tags zu erstellen, wird die Operation blockiert. Eine IAM-Gruppe mit einer bedingten Allow-Richtlinie wäre komplexer zu verwalten und würde nicht die gleiche organisationsweite Durchsetzung bieten. Eine Cross-Account-Rolle mit einer Deny-Richtlinie für jedes Tag wäre ineffizient und schwer zu skalieren. AWS Resource Groups dienen der Organisation von Ressourcen und nicht der Durchsetzung von Tagging-Richtlinien bei der Ressourcenerstellung.