Een organisatie gebruikt AWS Organizations om accounts te beheren en implementeert alle infrastructuur met AWS CloudFormation. Het financiële team heeft chargeback-rapportage nodig en heeft bedrijfseenheden gevraagd om resources te taggen met een vooraf gedefinieerde lijst van projectwaarden. Toen financiën het AWS Cost and Usage Report filterde op project, vonden ze niet-compatibele projecttagwaarden. Het bedrijf wil de toegestane projecttagwaarden voor nieuwe resources afdwingen met de minste inspanning. Wat moet u doen?

De correcte optie pakt beide problemen aan: niet-compatibele tagwaarden en ontbrekende tags. Een tag policy in het management account dwingt de toegestane projecttagwaarden af voor de hele organisatie. Een Service Control Policy (SCP) die de cloudformation:CreateStack API-bewerking weigert tenzij een projecttag is opgegeven, zorgt ervoor dat alle nieuwe CloudFormation stacks de vereiste tag hebben. Dit is de oplossing met de minste inspanning omdat de policies centraal worden beheerd en automatisch worden toegepast op alle accounts in de OU's. De andere opties zijn minder efficiënt of onjuist: Tag policies per OU zijn omslachtiger te beheren. Een IAM policy per gebruiker is niet schaalbaar en kan makkelijk omzeild worden. AWS Service Catalog is een goede optie voor gestandaardiseerde implementaties, maar het afdwingen van tags via TagOptions is niet zo robuust als een SCP en vereist dat alle stacks via Service Catalog worden gelanceerd, wat niet altijd het geval is.