Uma empresa exige que toda a infraestrutura seja implantada apenas em Regiões dos EUA. O engenheiro de DevOps deve restringir quais Regiões podem ser usadas, alertar imediatamente sobre qualquer atividade fora da política e ter os controles aplicados automaticamente para qualquer nova Região fora dos EUA. Qual combinação de ações satisfaz esses requisitos? (Escolha duas.)

A criação de uma Service Control Policy (SCP) do AWS Organizations que nega o acesso a serviços não globais fora das Regiões dos EUA e a anexação à raiz da organização garante que a política seja aplicada a todas as contas da organização, impedindo a implantação de recursos em Regiões não autorizadas. Isso atende ao requisito de controle automático. Habilitar o AWS CloudTrail em todas as Regiões e enviar os logs para o CloudWatch Logs, juntamente com um filtro de métricas, permite a detecção e o alerta imediato sobre qualquer atividade fora da política em Regiões não autorizadas. As outras opções são menos eficazes ou incorretas. Implantar uma função Lambda em cada Região para procurar atividade de serviço e agendá-la via EventBridge a cada hora não oferece controle automático nem alerta imediato. Usar uma função Lambda para consultar o Amazon Inspector não é o mecanismo apropriado para monitorar atividades em Regiões. Escrever uma SCP que usa a chave de condição aws:RequestedRegion e aplicá-la a usuários, grupos e funções é menos abrangente do que anexar à raiz da organização e não oferece a mesma garantia de controle automático para novas contas ou recursos.