AWS Organizations (すべての機能が有効) の組織は、組織のアカウント内のすべてのEC2インスタンスにCostCenterタグキーがあり、タグ値が承認されたコストセンター値であることを確認する必要があります。一部の開発者は、スキャンニングスクリプトからの通知を避けるために任意の値を追加します。OU全体で正しいタグキーと承認された値を適用するアプローチはどれですか？

このアプローチは、タグの強制と修正の両方を組み合わせるため、最も効果的です。SCPは、CostCenterタグキーがないEC2インスタンスの作成をブロックし、必須タグを強制します。タグポリシーは、CostCenterタグの値を承認されたリストに制限し、開発者が任意の値を設定するのを防ぎます。スキャンニングスクリプトを更新して、非準拠リソースにデフォルトの承認済みCostCenter値を設定することで、既存のリソースのコンプライアンスを自動的に修正し、手動介入の必要性を減らします。 他の選択肢は、タグの強制または修正のいずれかが欠けているため不完全です。SCPのみでは値の制限ができません。IAMアクセス許可の境界は、タグポリシーほど包括的で管理しやすくありません。Lambda関数とEventBridgeは、タグの強制には使えますが、タグポリシーのような承認済み値の制限はできません。