Una cosa que aprendimos por las malas: la clave del grupo no se puede cambiar después de crearla. La clave es la que aparece en el registro de auditoría y en las condiciones de las políticas, así que optamos por claves al estilo plant.north.operators y mantuvimos los nombres amigables en la etiqueta.