Firma utworzyła nową organizację w AWS Organizations z wieloma kontami dla zespołów deweloperskich. Deweloperzy używają AWS IAM Identity Center (AWS Single Sign-On) do uzyskiwania dostępu do kont. Dla każdej aplikacji zespoły deweloperskie muszą zastosować predefiniowany tag nazwy aplikacji do tworzonych zasobów. Architekt rozwiązań musi zezwolić na tworzenie zasobów tylko wtedy, gdy tag nazwy aplikacji ma zatwierdzoną wartość. Które rozwiązanie spełnia te wymagania?

Poprawną odpowiedzią jest utworzenie polityki tagów w AWS Organizations. Polityki tagów umożliwiają standaryzację tagowania zasobów w całej organizacji AWS. Można w nich zdefiniować dozwolone klucze tagów (np. "ApplicationName") oraz listę dozwolonych wartości dla tych kluczy. Gdy polityka tagów jest włączona i zastosowana do kont, AWS automatycznie sprawdza zgodność tagów podczas tworzenia lub modyfikowania zasobów. Jeśli tag ApplicationName nie zostanie podany lub jego wartość nie będzie zgodna z listą zatwierdzonych wartości, operacja tworzenia zasobu zostanie odrzucona, co spełnia wymagania. Tworzenie grupy IAM z polityką warunkową jest mniej skalowalne i trudniejsze do zarządzania na wielu kontach. Rola cross-account z polityką Deny dla tagów jest nieprawidłowa, ponieważ ma zezwalać na tworzenie zasobów z poprawnymi tagami, a nie je odrzucać. Grupy zasobów w AWS Resource Groups służą do organizowania i zarządzania zasobami, a nie do egzekwowania polityk tagowania.