DataWorksは、組織内のすべてのアカウントで、新しいEC2インスタンスと新しいRDS DBインスタンスの作成時にCostCenterタグとDataOwnerタグを含めることを義務付けています。このコントロールは予防的でなければなりません。この要件を満たすための最善の方法は何ですか？

正解は、組織のルートにSCPをアタッチし、aws:RequestTag/TagKeysにCostCenterとDataOwnerが含まれていない場合、ec2:RunInstancesとrds:CreateDBInstanceを拒否する、です。これは、新しいEC2インスタンスとRDS DBインスタンスの作成時に、指定されたタグが必須であることを予防的に強制する最も効果的な方法です。SCPは組織全体に適用され、指定されたタグがないリソースの作成を完全にブロックします。 AWS Organizationsのタグポリシーは、タグ付けされていないリソースの作成をブロックする機能を持っていません。AWS Configルールは、リソース作成後にタグの欠落を検出して修復するため、予防的なコントロールではありません。IAM Permissions Boundaryは、個々のアカウントに適用されるため、組織全体の予防的なコントロールとしては不十分です。