Организация в AWS Organizations (с включенными всеми функциями) должна гарантировать, что каждый инстанс EC2 в аккаунтах организации имеет ключ тега CostCenter и что значение тега является утвержденным значением центра затрат. Некоторые разработчики добавляют произвольные значения, чтобы избежать уведомлений от скрипта сканирования. Какой подход обеспечивает соблюдение правильных ключей тегов и утвержденных значений по всему OU?

Правильный ответ обеспечивает комплексный подход к соблюдению требований тегирования. SCP гарантирует, что инстансы EC2 не могут быть созданы без обязательного тега CostCenter, предотвращая создание несоответствующих ресурсов на начальном этапе. Политика тегов ограничивает допустимые значения для тега CostCenter, обеспечивая использование только утвержденных значений. Прикрепление обеих политик к OU обеспечивает их применение ко всем аккаунтам в OU. Обновление скрипта сканирования для проверки и исправления несоответствующих ресурсов (установка значения по умолчанию) является проактивным шагом для поддержания соответствия. Неправильные варианты: Второй вариант не обеспечивает соблюдение утвержденных значений тегов, полагаясь только на уведомления, что не предотвращает использование произвольных значений. Третий вариант использует границы разрешений IAM, которые сложнее управлять в масштабе организации и могут быть обойдены, а также не обеспечивают принудительного применения утвержденных значений тегов на уровне создания ресурса. Четвертый вариант использует Lambda и EventBridge для добавления пустого тега, что не гарантирует наличие тега при создании и не принуждает к использованию утвержденных значений. Политика тегов сама по себе не блокирует создание, если тег отсутствует.