A empresa deseja exigir a criptografia em repouso do Amazon EBS para contas de produção existentes e para quaisquer contas de produção criadas no futuro. Eles querem uma solução que inclua blueprints e guardrails integrados. Qual combinação de etapas alcançará isso? (Escolha três.)

A criação de uma nova landing zone do AWS Control Tower na conta de gerenciamento da organização é a melhor prática para estabelecer uma base segura e escalável, permitindo a criação de OUs para separar ambientes como produção e desenvolvimento. Isso fornece blueprints e guardrails integrados. Convidar contas existentes para o AWS Organizations e criar Service Control Policies (SCPs) é essencial para impor a conformidade em toda a organização, garantindo que as políticas de criptografia sejam aplicadas de forma centralizada. Finalmente, criar um guardrail com escopo para a OU de produção para detectar a criptografia do EBS garante que a conformidade seja monitorada especificamente para os ambientes mais críticos, alertando sobre qualquer desvio. As opções incorretas são: Usar AWS CloudFormation StackSets para implantar regras do AWS Config é uma boa prática para governança, mas não estabelece uma landing zone completa com guardrails integrados como o Control Tower. Criar uma nova landing zone do AWS Control Tower em uma conta de desenvolvedor existente não é a prática recomendada, pois a landing zone deve ser estabelecida na conta de gerenciamento da organização para governança centralizada. Criar um guardrail a partir da conta de gerenciamento para detectar a criptografia do EBS é muito amplo; o guardrail deve ter escopo para a OU de produção para aplicação direcionada.