DataWorks는 조직의 모든 계정에서 생성 시 모든 새 EC2 인스턴스 및 모든 새 RDS DB 인스턴스에 CostCenter 및 DataOwner 태그를 포함하도록 의무화합니다. 이 제어는 예방적이어야 합니다. 이 요구 사항을 충족하는 가장 좋은 방법은 무엇입니까?

정답은 요청 시 CostCenter 및 DataOwner 태그가 포함되지 않은 경우 EC2 인스턴스 및 RDS DB 인스턴스 생성을 거부하는 SCP를 조직 루트에 연결하는 것입니다. SCP(서비스 제어 정책)는 AWS Organizations에서 계정 전체에 걸쳐 최대 권한을 정의하는 데 사용되는 예방적 제어입니다. aws:RequestTag/TagKeys 조건 키를 사용하면 특정 태그가 리소스 생성 요청에 포함되도록 강제할 수 있습니다. 이는 "생성 시" 요구 사항을 충족하는 가장 효과적인 방법입니다. AWS Organizations 태그 정책은 태그 준수를 감사하고 시행하지만, 리소스 생성 시 태그 지정을 강제하는 예방적 제어는 아닙니다. AWS Config 규칙은 리소스 생성 후 누락된 태그를 식별하고 수정하지만, 이는 사후 대응적 제어이며 "생성 시" 요구 사항을 충족하지 않습니다. IAM 권한 경계는 사용자 또는 역할에 할당될 수 있는 최대 권한을 설정하지만, 리소스 생성 시 특정 태그를 강제하는 데 직접 사용되지 않습니다.