Uma empresa deve migrar seu data center on-premises para a AWS, mas, devido à conformidade, só pode usar a região ap-northeast-3. Os administradores da empresa não têm permissão para conectar VPCs à internet. Quais soluções satisfazem esses requisitos? (Escolha duas.)

As políticas de controle de serviço (SCPs) do AWS Organizations são ideais para impor restrições em toda a organização, como negar acesso à internet e restringir o uso de regiões AWS. O AWS Control Tower, por sua vez, automatiza a configuração de um ambiente multi-contas seguro e compatível, incluindo a implementação de guardrails que podem negar acesso à internet e bloquear regiões específicas. A opção do AWS WAF é incorreta porque o WAF opera na camada de aplicação e não pode impedir o acesso à internet de uma VPC ou restringir o uso de regiões AWS. A criação de ACLs de rede e políticas do IAM é uma solução manual e menos escalável do que SCPs ou Control Tower, além de não ser abrangente o suficiente para impedir o acesso à internet de todas as VPCs ou o uso de regiões por todos os usuários de forma centralizada. O AWS Config detecta e alerta sobre não conformidades, mas não as impede ativamente, o que não atende ao requisito de bloqueio.