Uma empresa está projetando uma nova arquitetura de aplicativo móvel na AWS Cloud. A empresa usa unidades organizacionais (OUs) no AWS Organizations para gerenciar contas. A empresa deseja que as instâncias EC2 sejam marcadas com a sensibilidade dos dados usando os valores sensitive e nonsensitive. As identidades IAM não devem ser capazes de excluir a tag ou criar instâncias sem uma tag. Qual combinação de etapas atenderá a esses requisitos? (Escolha duas.)

As políticas de tags no AWS Organizations permitem definir e aplicar padrões de tags em todas as contas em uma OU, garantindo que as instâncias EC2 sejam marcadas com a sensibilidade dos dados. A aplicação da política de tags à OU apropriada garante a conformidade em todas as contas. Os Service Control Policies (SCPs) são cruciais para impor restrições. Um SCP pode negar a criação de instâncias EC2 se a tag de sensibilidade de dados não for especificada, garantindo que todas as novas instâncias tenham a tag obrigatória. Outro SCP pode impedir que identidades IAM excluam tags existentes, mantendo a integridade das tags após a criação. Anexar esses SCPs à OU apropriada garante que essas regras sejam aplicadas em todas as contas da OU. A opção de usar uma política de tags para negar a execução de instâncias quando uma chave de tag não é especificada é incorreta porque as políticas de tags são para padronização e não para controle de acesso. A opção do AWS Config é incorreta porque o Config é uma ferramenta de auditoria e conformidade reativa, não proativa para impedir a criação de recursos não conformes ou a exclusão de tags.