Un'organizzazione in AWS Organizations (con tutte le funzionalità abilitate) deve garantire che ogni istanza EC2 negli account dell'organizzazione abbia la chiave di tag CostCenter e che il valore del tag sia un valore di centro di costo approvato. Alcuni sviluppatori aggiungono valori arbitrari per evitare notifiche da uno script di scansione. Quale approccio impone chiavi di tag corrette e valori approvati in tutta l'OU?

L'opzione corretta utilizza una combinazione di SCP e Tag Policy per imporre i requisiti. L'SCP impedisce la creazione di istanze EC2 senza la chiave di tag CostCenter, garantendo che il tag sia sempre presente. La Tag Policy limita i valori del tag CostCenter a un elenco approvato, impedendo l'uso di valori arbitrari. Entrambe le policy, collegate all'OU, applicano queste regole a livello organizzativo. L'aggiornamento dello script di scansione per correggere le risorse non conformi fornisce un meccanismo di auto-remediazione, affrontando il comportamento degli sviluppatori. Le opzioni errate presentano dei difetti: La seconda opzione non impone valori di tag approvati e si affida solo alle notifiche, non alla prevenzione. La terza opzione utilizza un IAM permission boundary, che è più complesso e meno efficace di una Tag Policy per imporre valori di tag a livello organizzativo. La quarta opzione non impedisce la creazione di istanze EC2 senza il tag CostCenter e si affida a una funzione Lambda per aggiungere un tag vuoto, che non soddisfa il requisito di un valore approvato al momento della creazione.