Une entreprise a créé une nouvelle organisation dans AWS Organizations avec plusieurs comptes pour les équipes de développement. Les développeurs utilisent AWS IAM Identity Center (AWS Single Sign-On) pour accéder aux comptes. Pour chaque application, les équipes de développement doivent appliquer une balise de nom d'application prédéfinie aux ressources qu'elles créent. Un architecte de solutions doit autoriser la création de ressources uniquement si la balise de nom d'application a une valeur approuvée. Quelle solution répond à ces exigences ?

La bonne réponse est de créer une politique de balises dans AWS Organizations. Les politiques de balises, qui font partie des politiques de contrôle des services (SCP) dans Organizations, permettent de spécifier des règles de balisage pour les ressources à travers tous les comptes membres. Vous pouvez définir des balises obligatoires, des valeurs de balises autorisées et des règles de capitalisation. En spécifiant une liste de noms d'applications autorisés pour la balise de nom d'application, vous garantissez que seules les valeurs approuvées peuvent être utilisées lors de la création de ressources. Les autres options sont incorrectes car : Un groupe IAM avec une politique d'autorisation conditionnelle ne peut pas être appliqué de manière centralisée à travers tous les comptes de l'organisation et ne gère pas les valeurs de balises autorisées. Un rôle inter-comptes avec une politique de refus pour les ressources ayant la balise de nom d'application ne répond pas à l'exigence d'autoriser la création uniquement si la balise a une valeur approuvée ; il refuserait simplement les ressources avec cette balise. AWS Resource Groups est utilisé pour organiser et gérer des collections de ressources, pas pour appliquer ou valider des politiques de balisage.