한 회사에서 동일한 AWS Organization 내 여러 AWS 계정에서 다양한 프로젝트를 개발합니다. 비용은 Project 태그를 통해 소유 프로젝트에 할당되어야 합니다. 운영팀은 Project 태그가 누락된 EC2 인스턴스가 많다는 것을 발견했습니다. 솔루션스 아키텍트는 현재 태그가 지정되지 않은 인스턴스를 찾고 향후 Project 태그 없이 인스턴스가 시작되는 것을 방지하기 위해 어떤 조치를 취해야 할까요? (세 가지 선택)

누락된 태그가 있는 리소스를 찾기 위해 각 계정에 AWS Config 규칙을 생성하는 것은 현재 태그가 지정되지 않은 인스턴스를 식별하는 효과적인 방법입니다. AWS Config는 리소스 구성 변경 사항을 지속적으로 모니터링하고 기록하여 특정 태그가 누락된 리소스를 쉽게 식별할 수 있도록 합니다. Project 태그가 누락된 경우 ec2:RunInstances에 대한 deny 액션으로 조직에 SCP를 생성하는 것은 향후 Project 태그 없이 인스턴스가 시작되는 것을 방지하는 강력한 예방 조치입니다. SCP(서비스 제어 정책)는 AWS Organizations의 모든 계정에 적용되어 중앙에서 거버넌스를 시행합니다. 누락된 Project 태그가 있는 EC2 인스턴스 목록을 수집하기 위해 조직에 AWS Config aggregator를 생성하는 것은 여러 계정에서 AWS Config 규칙의 결과를 중앙에서 집계하여 전체 조직의 태그 준수 상태를 한눈에 파악할 수 있도록 합니다. Amazon Inspector는 보안 취약점 평가 도구이므로 태그 누락을 식별하는 데 적합하지 않습니다. Project 태그가 누락된 경우 ec2:RunInstances에 대한 deny 액션으로 각 계정에 IAM 정책을 생성하는 것은 모든 계정에 개별적으로 정책을 배포해야 하므로 관리 오버헤드가 크고 확장성이 떨어집니다. AWS Security Hub는 보안 상태 관리 서비스이며 태그 누락을 직접적으로 식별하거나 집계하는 주요 목적이 아닙니다.