Het bedrijf gebruikt AWS Organizations om meerdere accounts te beheren. Elke EC2-instantie moet een BusinessUnit-tag bevatten voor kostenallocatie. Een audit heeft uitgewezen dat sommige instanties de tag misten en het bedrijf heeft deze handmatig toegevoegd. Hoe moet een solutions architect de BusinessUnit-tag in de toekomst afdwingen?

Een Service Control Policy (SCP) is de juiste oplossing omdat het een krachtig mechanisme is binnen AWS Organizations om op een centrale manier permissies te beheren en af te dwingen voor alle accounts in de organisatie. Door een SCP te maken die de aanwezigheid van de BusinessUnit-tag op EC2-instanties afdwingt en deze te koppelen aan de root van de organisatie, wordt deze regel automatisch toegepast op alle bestaande en toekomstige accounts. Dit voorkomt dat gebruikers EC2-instanties kunnen starten zonder de vereiste tag, waardoor handmatige correcties niet meer nodig zijn en de kostenallocatie consistent blijft. Tag policies zijn minder geschikt omdat ze voornamelijk worden gebruikt voor het standaardiseren van tag-keys en -waarden, en niet voor het afdwingen van de aanwezigheid van tags bij het aanmaken van resources. Het koppelen van een SCP aan alleen het management account zou de regel niet afdwingen voor andere accounts in de organisatie.