AWS Organizations（已啟用所有功能）中的某個組織必須確保組織帳戶中的每個 EC2 執行個體都具有 CostCenter 標籤鍵，並且標籤值是經核准的成本中心值。有些開發人員會新增任意值，以避免掃描指令碼發出通知。哪種方法可以在整個 OU 中強制執行正確的標籤鍵和經核准的值？

正確答案結合了多種 AWS Organizations 功能來強制執行標籤策略。服務控制策略 (SCP) 可以防止在沒有 CostCenter 標籤鍵的情況下建立 EC2 執行個體，確保所有新執行個體都帶有此標籤。標籤策略 (Tag Policy) 可以限制 CostCenter 標籤的值為預先核准的清單，解決了開發人員使用任意值的問題。將這兩個策略附加到 OU，可以確保在整個組織單位中強制執行這些規則。更新掃描指令碼以檢查標籤鍵和值，並在不合規資源上設定預設值，這是一個實用的補救措施，可以自動修正不合規情況，而不是僅僅發出通知。 其他選項不夠全面或效率較低。僅使用 SCP 阻止缺少標籤的執行個體，但沒有強制執行標籤值。IAM 權限邊界是帳戶級別的，無法在整個 OU 中集中管理標籤值。使用 Lambda 函數新增空標籤並依賴掃描指令碼來驗證值，這是一種反應式方法，而不是主動預防不合規。