Un'azienda esegue carichi di lavoro di produzione e non di produzione in più account AWS che fanno parte di un'organizzazione in AWS Organizations. L'azienda necessita di una soluzione che impedisca la modifica dei tag di utilizzo dei costi. Quale soluzione soddisfa questo requisito?

Una Service Control Policy (SCP) in AWS Organizations è la soluzione più efficace per questo requisito. Le SCP consentono di definire le autorizzazioni massime disponibili per tutti gli account membri di un'organizzazione. Possono negare esplicitamente azioni specifiche, come la modifica dei tag di costo, garantendo che nessun utente o ruolo, nemmeno l'utente root, possa eseguire tali azioni a meno che non siano esplicitamente consentite nell'SCP. Le altre opzioni non sono adatte: Una regola AWS Config personalizzata può rilevare modifiche non conformi ma non può impedirle proattivamente. AWS CloudTrail registra le azioni API ma non impedisce le modifiche. I log di Amazon CloudWatch raccolgono e monitorano i dati dei log, ma non forniscono funzionalità di prevenzione delle modifiche.