Un'azienda ha creato una nuova organizzazione in AWS Organizations con più account per i team di sviluppo. Gli sviluppatori utilizzano AWS IAM Identity Center (AWS Single Sign-On) per accedere agli account. Per ogni applicazione, i team di sviluppo devono applicare un tag predefinito con il nome dell'applicazione alle risorse che creano. Un architetto di soluzioni deve consentire la creazione di risorse solo se il tag del nome dell'applicazione ha un valore approvato. Quale soluzione soddisfa questi requisiti?

La creazione di una tag policy in AWS Organizations è la soluzione più efficace. Le tag policy consentono di definire regole per le tag, inclusi i valori consentiti per chiavi di tag specifiche, e di applicarle a livello di organizzazione o a singole unità organizzative (OU). Questo garantisce che tutte le risorse create negli account membri aderiscano ai requisiti di tagging, bloccando la creazione di risorse con tag non conformi. Le altre opzioni non sono adatte: Un gruppo IAM con una policy di Allow condizionale non è scalabile per tutti gli account e non impedirebbe la creazione di risorse con tag errati se gli utenti non rientrassero in quel gruppo specifico o se la policy fosse mal configurata. Un ruolo cross-account con una policy di Deny per le risorse con il tag del nome dell'applicazione è l'opposto di ciò che si vuole ottenere; l'obiettivo è consentire solo tag approvati, non negare quelli esistenti. AWS Resource Groups serve per organizzare le risorse, non per applicare o convalidare policy di tagging a livello di creazione.