Une organisation utilise AWS Organizations pour gérer les comptes et déploie toute son infrastructure avec AWS CloudFormation. L'équipe financière a besoin de rapports de refacturation et a demandé aux unités commerciales de taguer les ressources avec une liste prédéfinie de valeurs de projet. Lorsque le service financier a filtré le rapport AWS Cost and Usage par projet, il a trouvé des valeurs de tag de projet non conformes. L'entreprise souhaite appliquer les valeurs de tag de projet autorisées pour les nouvelles ressources avec le moins d'effort possible. Que devriez-vous faire ?

La bonne solution consiste à utiliser une politique de tags AWS Organizations pour définir les valeurs de tag de projet autorisées. Cette politique est gérée de manière centralisée dans le compte de gestion. Ensuite, une politique de contrôle de service (SCP) est créée pour refuser l'opération cloudformation:CreateStack si un tag de projet valide n'est pas fourni. En attachant cette SCP à chaque unité d'organisation (OU), la conformité est appliquée de manière centralisée et automatique pour toutes les nouvelles ressources CloudFormation, avec un effort minimal. L'option de créer une politique de tags dans chaque OU est moins efficace car elle nécessite une gestion décentralisée. Utiliser une politique IAM attachée à chaque utilisateur est fastidieux et difficile à maintenir à grande échelle. AWS Service Catalog est une solution viable pour la gouvernance des ressources, mais la question se concentre sur l'application des tags pour les ressources CloudFormation existantes et nouvelles, et les politiques de tags avec les SCPs sont plus directes pour cette exigence spécifique de conformité des tags.