L'entreprise utilise AWS Organizations pour gérer plusieurs comptes. Chaque instance EC2 doit inclure une balise BusinessUnit pour l'allocation des coûts. Un audit a révélé que certaines instances ne comportaient pas cette balise et l'entreprise les a ajoutées manuellement. Comment un architecte de solutions doit-il faire respecter la balise BusinessUnit à l'avenir ?

La bonne réponse est de créer une politique de contrôle de service (SCP) et de l'attacher à la racine de l'organisation. Les SCPs permettent de définir des autorisations maximales pour tous les comptes membres d'une organisation, y compris l'application de balises obligatoires lors de la création de ressources. En l'attachant à la racine, elle s'applique à tous les comptes et unités d'organisation (OU), garantissant une application uniforme. Les politiques de balises (Tag Policies) sont conçues pour standardiser les balises et vérifier la conformité, mais elles ne forcent pas la présence d'une balise lors de la création d'une ressource. Elles signalent la non-conformité mais n'empêchent pas la création. Attacher une SCP au seul compte de gestion ne serait pas suffisant, car elle ne s'appliquerait pas aux autres comptes membres où les instances EC2 sont créées.