La empresa utiliza AWS Organizations para administrar varias cuentas. Cada instancia EC2 debe incluir una etiqueta BusinessUnit para la asignación de costos. Una auditoría encontró que a algunas instancias les faltaba la etiqueta y la empresa las agregó manualmente. ¿Cómo debe un arquitecto de soluciones hacer cumplir la etiqueta BusinessUnit en el futuro?

La opción correcta es crear una Service Control Policy (SCP) y adjuntarla a la raíz de la organización. Las SCPs permiten especificar los permisos máximos para todas las cuentas miembro en una organización, lo que incluye la capacidad de denegar acciones si no se cumplen ciertas condiciones, como la presencia de una etiqueta específica. Al adjuntarla a la raíz, se asegura que la política se aplique a todas las cuentas de la organización. Las políticas de etiquetas (Tag Policies) son útiles para estandarizar etiquetas y reportar el cumplimiento, pero no impiden la creación de recursos sin las etiquetas requeridas. Solo informan sobre el incumplimiento. Adjuntar una SCP a la cuenta de administración no es suficiente, ya que solo afectaría a esa cuenta y no a las cuentas miembro.