DataWorks wymaga, aby każda nowa instancja EC2 i każda nowa instancja bazy danych RDS zawierała tagi CostCenter i DataOwner w momencie tworzenia we wszystkich kontach w organizacji. Kontrola musi być prewencyjna. Jaki jest NAJLEPSZY sposób na spełnienie tego wymagania?

Dołączenie SCP (Service Control Policy) do głównego elementu organizacji jest najlepszym sposobem na prewencyjne wymuszenie tagów. SCP może odmówić akcji ec2:RunInstances i rds:CreateDBInstance, jeśli żądanie nie zawiera wymaganych tagów CostCenter i DataOwner. To uniemożliwia tworzenie zasobów bez odpowiednich tagów na poziomie całej organizacji. AWS Organizations Tag Policies są używane do egzekwowania standardów tagowania i mogą raportować niezgodności, ale nie blokują prewencyjnie tworzenia zasobów. Reguły AWS Config wykrywają niezgodności po utworzeniu zasobu i mogą próbować je naprawić, co nie jest prewencyjne. Granice uprawnień IAM są stosowane do poszczególnych podmiotów IAM w ramach konta, a nie do całej organizacji, i byłyby trudne do zarządzania na dużą skalę.