Organizacja w AWS Organizations (z włączonymi wszystkimi funkcjami) musi zapewnić, że każda instancja EC2 na kontach organizacji ma klucz tagu CostCenter, a jego wartość jest zatwierdzoną wartością centrum kosztów. Niektórzy deweloperzy dodają dowolne wartości, aby uniknąć powiadomień ze skryptu skanującego. Które podejście wymusza poprawne klucze tagów i zatwierdzone wartości w całej jednostce organizacyjnej (OU)?

Poprawna odpowiedź wykorzystuje kombinację SCP i polityk tagów, aby skutecznie egzekwować wymagania dotyczące tagowania. SCP blokuje tworzenie instancji EC2, jeśli brakuje klucza tagu CostCenter, zapewniając, że tag jest zawsze obecny. Polityka tagów ogranicza akceptowalne wartości dla tagu CostCenter do predefiniowanej listy, zapobiegając użyciu nieprawidłowych wartości. Dołączenie obu polityk do jednostki organizacyjnej (OU) zapewnia ich zastosowanie na wszystkich kontach w tej OU. Aktualizacja skryptu skanującego w celu ustawienia domyślnej, zatwierdzonej wartości dla niezgodnych zasobów jest praktycznym rozwiązaniem, które zapewnia zgodność bez całkowitego blokowania operacji, co jest kluczowe w środowiskach deweloperskich. Nieprawidłowe opcje: Opcja z samym SCP i skryptem skanującym nie wymusza zatwierdzonych wartości tagów, a jedynie obecność klucza. Opcja z granicami uprawnień IAM jest mniej efektywna niż polityki tagów w egzekwowaniu wartości tagów na poziomie zasobów i może być bardziej złożona w zarządzaniu na dużą skalę. Opcja z funkcją Lambda i EventBridge jest reaktywna, a nie proaktywna, co oznacza, że nie zapobiega tworzeniu zasobów z nieprawidłowymi tagami, a jedynie próbuje je naprawić po fakcie.