Eine Organisation nutzt AWS Organizations zur Verwaltung von Konten und stellt die gesamte Infrastruktur mit AWS CloudFormation bereit. Das Finanzteam benötigt ein Chargeback-Reporting und hat die Geschäftsbereiche gebeten, Ressourcen mit einer vordefinierten Liste von Projektwerten zu taggen. Als das Finanzteam den AWS Cost and Usage Report nach Projekten filterte, wurden nicht konforme Projekt-Tag-Werte gefunden. Das Unternehmen möchte die zulässigen Projekt-Tag-Werte für neue Ressourcen mit dem geringsten Aufwand durchsetzen. Was sollten Sie tun?

Die Tag-Richtlinie im Verwaltungskonto definiert die zulässigen Projekt-Tag-Werte für die gesamte Organisation und stellt sicher, dass nur vordefinierte Werte verwendet werden können. Eine Service Control Policy (SCP) ist der richtige Mechanismus, um organisationsweit die Erstellung von CloudFormation-Stacks zu verhindern, wenn keine konformen Projekt-Tags bereitgestellt werden. Das Anfügen der SCP an jede OU erzwingt diese Regel in allen Geschäftsbereichen. Option "Erstellen Sie in jeder OU eine Tag-Richtlinie..." ist ineffizient, da die Richtlinie in jeder OU separat verwaltet werden müsste. Option "Erstellen Sie im Verwaltungskonto eine Tag-Richtlinie... Erstellen Sie eine IAM-Richtlinie..." ist falsch, da IAM-Richtlinien an Benutzer oder Rollen gebunden sind und nicht organisationsweit die Tag-Einhaltung für Ressourcenerstellung durchsetzen. Option "Verwenden Sie AWS Service Catalog..." ist eine gültige Lösung für die Governance, aber nicht die geringste Aufwand Lösung, da sie die Migration bestehender CloudFormation-Vorlagen in Service Catalog-Produkte erfordert.