Un'azienda sviluppa più progetti su diversi account AWS all'interno della stessa AWS Organization. I costi devono essere allocati al progetto proprietario tramite un tag Project. Il team operativo ha riscontrato che a molte istanze EC2 mancava il tag Project. Quali azioni dovrebbe intraprendere un architetto di soluzioni per trovare le istanze attuali senza tag e impedire che in futuro vengano avviate istanze senza il tag Project? (Scegliere tre.)

Per trovare le istanze EC2 esistenti senza tag, è possibile creare una regola AWS Config in ogni account. AWS Config monitora la conformità delle risorse e può identificare quelle che non rispettano le regole di tagging. Per una visione centralizzata, un aggregatore AWS Config nell'organizzazione può raccogliere i dati di conformità da tutti gli account, fornendo un elenco consolidato delle istanze EC2 con tag mancanti. Per prevenire l'avvio futuro di istanze senza il tag Project, un Service Control Policy (SCP) a livello di AWS Organization è la soluzione più efficace. Un SCP può negare l'azione ec2:RunInstances se il tag Project non è presente, applicando questa restrizione a tutti gli account membri. Le opzioni errate sono: Amazon Inspector è uno strumento di sicurezza che rileva vulnerabilità e deviazioni dalle best practice di sicurezza, non è progettato per la gestione dei tag. Una policy IAM in ogni account sarebbe meno efficiente e più difficile da gestire rispetto a un SCP centralizzato, che applica la regola a tutti gli account dell'organizzazione. AWS Security Hub aggrega i risultati di sicurezza da vari servizi AWS, ma non è il meccanismo primario per identificare direttamente le risorse con tag mancanti o per applicare politiche di tagging.