Organizacja używa AWS Organizations do zarządzania kontami i wdraża całą infrastrukturę za pomocą AWS CloudFormation. Zespół finansowy potrzebuje raportowania obciążeń zwrotnych i poprosił jednostki biznesowe o tagowanie zasobów z góry zdefiniowaną listą wartości projektów. Kiedy finanse przefiltrowały raport AWS Cost and Usage Report według projektu, znaleziono niezgodne wartości tagów projektu. Firma chce wymusić dozwolone wartości tagów projektu dla nowych zasobów przy najmniejszym wysiłku. Co należy zrobić?

Poprawna odpowiedź to stworzenie polityki tagów na koncie zarządzającym, która definiuje dozwolone wartości dla tagu projektu. Następnie należy utworzyć politykę kontroli usług (SCP), która odmawia operacji API cloudformation:CreateStack, jeśli tag projektu nie jest obecny lub nie ma dozwolonej wartości. Dołączenie tej SCP do każdej jednostki organizacyjnej (OU) zapewnia egzekwowanie tagowania w całej organizacji. Pozostałe opcje są mniej efektywne: Tworzenie polityki tagów w każdej OU jest mniej skalowalne niż centralne zarządzanie. Polityka IAM dołączona do każdego użytkownika jest trudna w zarządzaniu i nie zapewnia spójności na poziomie konta. AWS Service Catalog jest dobrym narzędziem do zarządzania produktami, ale nie jest najprostszym rozwiązaniem do wymuszania tagowania na poziomie tworzenia zasobów CloudFormation w całej organizacji przy najmniejszym wysiłku.