회사는 여러 계정을 관리하기 위해 AWS Organizations를 사용합니다. 모든 EC2 인스턴스에는 비용 할당을 위한 BusinessUnit 태그가 포함되어야 합니다. 감사 결과 일부 인스턴스에 태그가 누락된 것이 확인되었고, 회사는 이를 수동으로 추가했습니다. 솔루션스 아키텍트는 앞으로 BusinessUnit 태그를 어떻게 적용해야 할까요?

정답은 Service Control Policy (SCP)를 생성하여 조직 루트에 연결하고, SCP에 EC2 인스턴스에 BusinessUnit 태그의 존재를 강제하는 문을 포함하는 것입니다. SCP는 AWS Organizations의 보안 제어로, 계정의 최대 권한을 정의합니다. SCP를 사용하면 특정 태그가 없는 EC2 인스턴스 생성을 명시적으로 거부하여, 향후 모든 EC2 인스턴스에 BusinessUnit 태그가 강제적으로 적용되도록 할 수 있습니다. 조직 루트에 연결하면 모든 하위 계정에 정책이 적용됩니다. 태그 정책은 태그 키 및 값의 표준화를 돕지만, 리소스 생성 시 태그의 존재 자체를 강제하지는 않습니다. 태그 정책은 규정 준수 여부를 보고할 뿐, 강제적인 제어는 아닙니다. 관리 계정에 연결하는 것은 조직 루트에 연결하는 것보다 적용 범위가 좁으므로, 전체 조직에 적용하려면 루트에 연결해야 합니다.