Un'organizzazione utilizza AWS Organizations per gestire gli account e distribuisce tutta l'infrastruttura con AWS CloudFormation. Il team finanziario necessita di report di chargeback e ha chiesto alle business unit di taggare le risorse con un elenco predefinito di valori di progetto. Quando il team finanziario ha filtrato l'AWS Cost and Usage Report per progetto, ha riscontrato valori di tag di progetto non conformi. L'azienda vuole imporre i valori di tag di progetto consentiti per le nuove risorse con il minimo sforzo. Cosa dovresti fare?

La risposta corretta impiega sia le policy di tag che le Service Control Policy (SCP) per far rispettare i tag. Le policy di tag, create nell'account di gestione, definiscono i valori consentiti per i tag, garantendo la conformità a livello di organizzazione. L'SCP nega l'operazione cloudformation:CreateStack se il tag di progetto non è presente o non conforme, applicando la regola a tutte le OU con il minimo sforzo amministrativo. Le altre opzioni sono meno efficienti o meno complete. Creare policy di tag in ogni OU è ridondante. Una policy IAM per ogni utente non è scalabile e non copre tutti i principi. AWS Service Catalog è utile per la governance, ma le policy di tag e le SCP sono più dirette per imporre i valori dei tag a livello di creazione delle risorse.