Eine Organisation in AWS Organizations (alle Funktionen aktiviert) muss sicherstellen, dass jede EC2-Instance in den Konten der Organisation den Tag-Schlüssel CostCenter besitzt und dass der Tag-Wert ein genehmigter Kostenstellenwert ist. Einige Entwickler fügen beliebige Werte hinzu, um Benachrichtigungen von einem Scanning-Skript zu vermeiden. Welcher Ansatz erzwingt korrekte Tag-Schlüssel und genehmigte Werte in der gesamten OU?

Die korrekte Antwort kombiniert eine SCP und eine Tag-Richtlinie. Die SCP erzwingt das Vorhandensein des Tag-Schlüssels CostCenter bei der Erstellung von EC2-Instances und verhindert so, dass Entwickler ihn ganz weglassen. Die Tag-Richtlinie beschränkt die zulässigen Werte für diesen Tag auf eine vordefinierte Liste, was die Verwendung beliebiger Werte unterbindet. Beide Richtlinien werden an die OU angehängt, um eine organisationsweite Durchsetzung zu gewährleisten. Das Scanningskript wird aktualisiert, um die Einhaltung zu überprüfen und gegebenenfalls einen Standardwert für nicht konforme Ressourcen festzulegen, was eine zusätzliche Ebene der Korrektur bietet. Die anderen Optionen sind unzureichend: Eine SCP allein kann nur das Vorhandensein des Tags erzwingen, nicht aber die Gültigkeit der Werte. Das Scanningskript benachrichtigt nur, korrigiert aber nicht. IAM-Berechtigungsgrenzen sind konto-spezifisch und nicht organisationsweit durchsetzbar, zudem sind sie komplexer zu verwalten als Tag-Richtlinien für diesen Zweck. Eine Tag-Richtlinie allein erzwingt nicht das Vorhandensein des Tags. Eine Lambda-Funktion, die leere Tags hinzufügt, löst das Problem der erzwungenen Werte nicht und ist ein umständlicher Ansatz.