Een organisatie in AWS Organizations (met alle functies ingeschakeld) moet ervoor zorgen dat elke EC2-instance in de accounts van de organisatie de tag-sleutel CostCenter heeft en dat de tag-waarde een goedgekeurde kostenplaats-waarde is. Sommige ontwikkelaars voegen willekeurige waarden toe om meldingen van een scanning-script te vermijden. Welke aanpak dwingt correcte tag-sleutels en goedgekeurde waarden af binnen de OU?

De correcte optie gebruikt een SCP om de aanwezigheid van de CostCenter-tag af te dwingen bij het aanmaken van EC2-instances, waardoor wordt voorkomen dat ontwikkelaars instances maken zonder deze tag. Een Tag Policy wordt gebruikt om te garanderen dat de waarden van de CostCenter-tag alleen uit een vooraf gedefinieerde lijst komen, wat willekeurige invoer voorkomt. Beide beleidsregels worden aan de OU gekoppeld voor organisatiebrede toepassing. Het scanning-script dient dan om bestaande niet-conforme resources te corrigeren. De andere opties zijn minder effectief: Het SCP alleen dwingt de aanwezigheid van de tag af, maar niet de waarden. Een scanning-script dat alleen beheerders informeert, corrigeert het probleem niet automatisch. IAM permission boundaries zijn accountspecifiek en niet schaalbaar over een hele OU. Een Tag Policy kan de aanwezigheid van een tag niet afdwingen, alleen de waarden ervan. Een Lambda-functie om een lege tag toe te voegen, lost het probleem van willekeurige waarden niet op en kan leiden tot ongewenste gedragingen.