한 회사에서 개발팀을 위해 여러 계정으로 AWS Organizations에 새 조직을 생성했습니다. 개발자는 AWS IAM Identity Center(AWS Single Sign-On)를 사용하여 계정에 액세스합니다. 각 애플리케이션에 대해 개발팀은 생성하는 리소스에 미리 정의된 애플리케이션 이름 태그를 적용해야 합니다. 솔루션스 아키텍트는 애플리케이션 이름 태그에 승인된 값이 있는 경우에만 리소스 생성을 허용해야 합니다. 어떤 솔루션이 이러한 요구 사항을 충족합니까?

AWS Organizations의 태그 정책은 조직 내 모든 계정에서 태그 키 및 값에 대한 규칙을 적용하는 데 사용됩니다. 허용된 애플리케이션 이름 목록을 포함하는 태그 정책을 생성하면, 개발자가 해당 목록에 없는 애플리케이션 이름 태그를 사용하여 리소스를 생성하는 것을 방지할 수 있습니다. 이는 중앙에서 태그 표준을 강제하고 거버넌스를 유지하는 가장 효과적인 방법입니다. IAM 그룹에 조건부 허용 정책을 생성하는 것은 각 계정에서 수동으로 관리해야 하므로 확장성이 떨어집니다. 교차 계정 역할에 거부 정책을 생성하는 것은 태그가 없는 리소스 생성을 막지 못하며, 태그 정책보다 관리 복잡성이 높습니다. AWS Resource Groups는 리소스 분류 및 관리에 사용되지만, 태그 적용을 강제하는 메커니즘은 아닙니다.