Una empresa creó una nueva organización en AWS Organizations con varias cuentas para los equipos de desarrollo. Los desarrolladores utilizan AWS IAM Identity Center (AWS Single Sign-On) para acceder a las cuentas. Para cada aplicación, los equipos de desarrollo deben aplicar una etiqueta de nombre de aplicación predefinida a los recursos que crean. Un arquitecto de soluciones debe permitir la creación de recursos solo si la etiqueta de nombre de aplicación tiene un valor aprobado. ¿Qué solución cumple estos requisitos?

La creación de una política de etiquetas en AWS Organizations con una lista de nombres de aplicación permitidos es la solución más efectiva. AWS Organizations permite aplicar políticas a nivel de organización, asegurando que todos los equipos de desarrollo cumplan con los requisitos de etiquetado en todas las cuentas. Las políticas de etiquetas permiten definir claves de etiquetas permitidas y los valores para esas claves, lo que garantiza que solo se utilicen los valores de nombre de aplicación aprobados al crear recursos. Las otras opciones son incorrectas porque: Un grupo de IAM con una política condicional de Allow solo afectaría a los usuarios de ese grupo y no garantizaría el cumplimiento en todas las cuentas o para todos los desarrolladores. Un rol de cuenta cruzada con una política de Deny para recursos con la etiqueta de nombre de aplicación no es el enfoque correcto; el objetivo es requerir la etiqueta con un valor aprobado, no denegar su existencia. Un grupo de recursos en AWS Resource Groups se utiliza para organizar y administrar recursos existentes, no para validar o aplicar políticas de etiquetado durante la creación de recursos.