AWS Organizations(모든 기능 활성화됨)의 한 조직은 조직 계정의 모든 EC2 인스턴스에 CostCenter 태그 키가 있고 태그 값이 승인된 비용 센터 값인지 확인해야 합니다. 일부 개발자는 스캐닝 스크립트의 알림을 피하기 위해 임의의 값을 추가합니다. OU 전체에서 올바른 태그 키와 승인된 값을 적용하는 접근 방식은 무엇입니까?

정답은 SCP(서비스 제어 정책)와 태그 정책을 결합하여 태그 키 존재와 값 유효성을 모두 강제하는 것입니다. SCP는 CostCenter 태그가 없는 EC2 인스턴스 생성을 차단하여 개발자가 태그를 완전히 생략하는 것을 방지합니다. 태그 정책은 CostCenter 태그 값이 승인된 목록에 있는지 확인하여 임의의 값을 사용하는 것을 막습니다. 스캐닝 스크립트를 업데이트하여 규정을 준수하지 않는 리소스에 기본값을 설정하도록 하면 기존 리소스의 규정 준수를 자동으로 개선할 수 있습니다. 오답 1은 태그 값 유효성 검사를 위한 메커니즘이 부족합니다. 오답 2는 IAM 권한 경계가 태그 값 유효성을 강제하는 데 적합하지 않으며, SCP는 태그 값 자체를 제한할 수 없습니다. 오답 3은 Lambda 함수가 새 인스턴스에 빈 태그를 추가하는 것이 요구 사항과 일치하지 않으며, 태그 정책만으로는 태그 키의 존재를 강제할 수 없습니다.