Een bedrijf ontwikkelt meerdere projecten in verschillende AWS-accounts onder dezelfde AWS Organization. Kosten moeten worden toegewezen aan het eigenaarsproject via een Project-tag. Het operations-team heeft veel EC2-instances gevonden die de Project-tag missen. Welke acties moet een solutions architect ondernemen om de huidige niet-getagde instances te vinden en te voorkomen dat toekomstige instances worden gestart zonder de Project-tag? (Kies drie.)

Een AWS Config-regel in elk account kan resources met ontbrekende tags identificeren, wat de huidige niet-getagde instances aan het licht brengt. Een Service Control Policy (SCP) op organisatieniveau met een Deny actie voor ec2:RunInstances wanneer de Project-tag ontbreekt, voorkomt dat toekomstige instances zonder deze tag worden gestart. Dit dwingt tagbeleid af over alle accounts. Een AWS Config-aggregator kan vervolgens de nalevingsgegevens van alle accounts consolideren, waardoor een centraal overzicht ontstaat van EC2-instances die de Project-tag missen. Amazon Inspector is gericht op beveiligingskwetsbaarheden en niet op tag-naleving. Een IAM-beleid in elk account is minder efficiënt dan een SCP op organisatieniveau, omdat het handmatig in elk account moet worden beheerd. AWS Security Hub richt zich op beveiligingsbevindingen en niet primair op het aggregeren van tag-naleving.