Uma empresa usa o AWS Organizations (com todos os recursos habilitados) e executa workloads do EC2 em ap-southeast-2. Um SCP impede a criação de recursos em outras Regiões. Uma política de segurança exige que todos os dados em repouso sejam criptografados. Uma auditoria descobriu que os funcionários criaram volumes EBS não criptografados. A empresa deseja que todas as novas instâncias EC2 lançadas em ap-southeast-2 por qualquer usuário IAM ou root usem volumes EBS criptografados, com impacto mínimo nos funcionários que criam volumes. Qual combinação de etapas atende a esses requisitos? (Escolha duas.)

A criação de um SCP anexado à OU raiz que nega a ação ec2:CreateVolume quando ec2:Encrypted é false garante que nenhum volume EBS não criptografado possa ser criado em nenhuma conta da organização, cumprindo o requisito de segurança de forma centralizada. A especificação da configuração de criptografia de volume EBS padrão na conta de gerenciamento do Organizations define a criptografia padrão para novos volumes EBS, minimizando o impacto nos funcionários, pois eles não precisarão especificar a criptografia manualmente. As outras opções são menos eficazes ou incorretas: A configuração do atributo da conta de criptografia do EBS no console do EC2 é por conta e não se propaga para toda a organização. Limites de permissão do IAM são aplicados a entidades IAM (usuários/perfis), não a OUs, e não impedem que o usuário root crie volumes. Atualizar políticas do IAM para cada conta é um processo manual e propenso a erros, não sendo uma solução centralizada e escalável.