DataWorks требует, чтобы каждый новый инстанс EC2 и каждый новый инстанс RDS DB включали теги CostCenter и DataOwner во время создания во всех аккаунтах организации. Контроль должен быть превентивным. Какой способ ЛУЧШЕ всего соответствует этому требованию?

Правильный ответ — прикрепление политики управления сервисами (SCP) к корневой папке организации. SCP являются превентивными контролями, которые применяются ко всем аккаунтам в организации и могут запрещать действия, если не соблюдаются определенные условия, такие как наличие обязательных тегов. Условие aws:RequestTag/TagKeys позволяет проверять наличие указанных тегов во время запроса на создание ресурса (ec2:RunInstances и rds:CreateDBInstance). Использование политик тегов AWS Organizations не блокирует создание ресурсов, а лишь помечает их как несовместимые. Правила AWS Config являются реактивными, они проверяют ресурсы после их создания и не могут предотвратить создание. Границы разрешений IAM применяются к отдельным субъектам IAM и не могут быть применены ко всем аккаунтам или предотвратить создание ресурсов, если у пользователя есть разрешение на это действие.