Une entreprise développe plusieurs projets sur plusieurs comptes AWS au sein de la même organisation AWS. Les coûts doivent être alloués au projet propriétaire via une balise Project. L'équipe des opérations a constaté que de nombreuses instances EC2 n'avaient pas la balise Project. Quelles actions un architecte de solutions devrait-il entreprendre pour trouver les instances non balisées actuelles et empêcher le lancement futur d'instances sans la balise Project ? (Choisissez trois.)

Pour trouver les instances non balisées actuelles, une règle AWS Config dans chaque compte peut identifier les ressources sans la balise "Project". Un agrégateur AWS Config au niveau de l'organisation centralisera ensuite ces informations pour une vue consolidée. Pour empêcher le lancement futur d'instances sans balise, un SCP (Service Control Policy) au niveau de l'organisation est la solution la plus efficace. Il peut refuser l'action ec2:RunInstances si la balise "Project" est absente, appliquant cette restriction à tous les comptes membres. L'utilisation d'Amazon Inspector ou d'AWS Security Hub n'est pas adaptée pour la gestion des balises. Une politique IAM individuelle serait moins efficace qu'un SCP, car elle devrait être appliquée manuellement à chaque utilisateur ou rôle dans chaque compte, et pourrait être contournée.