Een bedrijf heeft een nieuwe organisatie aangemaakt in AWS Organizations met meerdere accounts voor ontwikkelingsteams. Ontwikkelaars gebruiken AWS IAM Identity Center (AWS Single Sign-On) om toegang te krijgen tot accounts. Voor elke applicatie moeten ontwikkelingsteams een vooraf gedefinieerde applicatienaamtag toepassen op de resources die ze aanmaken. Een solutions architect moet het aanmaken van resources alleen toestaan als de applicatienaamtag een goedgekeurde waarde heeft. Welke oplossing voldoet aan deze vereisten?

Een tag policy in AWS Organizations is de meest geschikte oplossing. Deze beleidsregels kunnen op organisatieniveau worden afgedwongen en zorgen ervoor dat resources alleen worden aangemaakt als de opgegeven tag (in dit geval de applicatienaamtag) een goedgekeurde waarde heeft. Dit voorkomt dat ontwikkelaars resources aanmaken zonder de juiste tag of met een onjuiste tagwaarde. Andere opties zijn minder effectief: Een IAM-groep met een voorwaardelijk Allow-beleid zou alleen van toepassing zijn op de leden van die groep en niet op alle accounts in de organisatie. Een cross-account role met een Deny-beleid voor elke resource met de applicatienaamtag is contraproductief, aangezien het de bedoeling is om resources met de juiste tag toe te staan. Een resource group in AWS Resource Groups is bedoeld voor het organiseren en beheren van resources, niet voor het afdwingen van tagbeleid tijdens het aanmaken van resources.