Een bedrijf draait productie- en niet-productie-workloads in meerdere AWS-accounts die deel uitmaken van een organisatie in AWS Organizations. Het bedrijf heeft een oplossing nodig die het wijzigen van kostengebruikstags voorkomt. Welke oplossing voldoet aan deze vereiste?

Een Service Control Policy (SCP) in AWS Organizations is de juiste oplossing omdat het preventieve controles biedt die van toepassing zijn op alle accounts binnen de organisatie. SCP's kunnen expliciet acties weigeren, zoals het wijzigen van tags, voor alle gebruikers en rollen in de getroffen accounts, behalve voor specifiek uitgesloten principals. Dit zorgt ervoor dat de kostengebruikstags niet kunnen worden gewijzigd, zelfs niet door root-gebruikers, tenzij expliciet toegestaan. Aangepaste AWS Config-regels zijn voor detectie en compliance-auditing, niet voor preventie van acties. AWS CloudTrail logt API-activiteit, maar voorkomt geen acties. Amazon CloudWatch Logs verzamelt en monitort logboeken, maar heeft geen preventieve controlemogelijkheden.