DataWorks exige que cada nueva instancia EC2 y cada nueva instancia de base de datos RDS incluyan las etiquetas CostCenter y DataOwner en el momento de la creación en todas las cuentas de la organización. El control debe ser preventivo. ¿Cuál es la MEJOR manera de cumplir este requisito?

La opción correcta es adjuntar una SCP (Service Control Policy) en la raíz de la organización que deniegue las acciones ec2:RunInstances y rds:CreateDBInstance si las etiquetas CostCenter y DataOwner no están presentes. Esta es la mejor solución porque es un control preventivo que se aplica a todas las cuentas de la organización, impidiendo la creación de recursos que no cumplan con la política de etiquetado desde el inicio. Las políticas de etiquetas de AWS Organizations no pueden bloquear la creación de recursos sin etiquetar directamente; solo ayudan a estandarizar las etiquetas. AWS Config es un control detectivo y reactivo, ya que verifica y remedia después de la creación del recurso, lo cual no cumple con el requisito de ser preventivo. Los límites de permisos de IAM son específicos de cada entidad IAM y no son una forma escalable ni centralizada de aplicar una política organizacional a todas las cuentas y usuarios.