Компания создала новую организацию в AWS Organizations с несколькими аккаунтами для команд разработчиков. Разработчики используют AWS IAM Identity Center (AWS Single Sign-On) для доступа к аккаунтам. Для каждого приложения команды разработчиков должны применять предопределенный тег имени приложения (application name tag) к создаваемым ими ресурсам. Архитектор решений должен разрешать создание ресурсов только в том случае, если тег имени приложения имеет утвержденное значение. Какое решение соответствует этим требованиям?

Политики тегов (tag policies) в AWS Organizations позволяют стандартизировать тегирование ресурсов во всех аккаунтах организации. Создав политику тегов, которая определяет разрешенные значения для тега имени приложения, вы можете гарантировать, что разработчики будут использовать только утвержденные значения. Если ресурс создается с неразрешенным значением тега, AWS Organizations помечает его как несоответствующий, что позволяет обеспечить соблюдение требований. Неправильные варианты: IAM-группа с политикой Allow не может принудительно требовать использование тегов или их значений. IAM-политики управляют разрешениями на действия, а не на содержимое тегов. Кросс-аккаунтная роль с политикой Deny для ресурсов с тегом имени приложения не соответствует цели, так как она запретит создание ресурсов с любым тегом имени приложения, а не только с неразрешенными. AWS Resource Groups используются для организации ресурсов и их мониторинга, но не для принудительного применения политик тегирования или проверки значений тегов при создании ресурсов.