Você precisa de um processo automatizado e em toda a organização para isolar instâncias Amazon EC2 comprometidas quando elas recebem uma tag específica. Qual combinação de etapas implementará isso em todas as contas? (Escolha duas.)

A combinação de AWS CloudFormation StackSets e uma solução baseada em Lambda/EventBridge é a mais eficaz. O CloudFormation StackSets permite implantar e gerenciar pilhas CloudFormation em várias contas e regiões a partir de uma única conta de administrador, garantindo a padronização e automação em toda a organização. A segunda opção correta descreve um fluxo de trabalho automatizado: um modelo CloudFormation define um Security Group restritivo e uma função de instância sem permissões. Uma função Lambda, acionada pelo EventBridge quando a tag específica é aplicada, substitui os Security Groups da instância comprometida pelo grupo restritivo, isolando-a. A opção de SCP é incorreta porque um SCP não pode negar ações com base em tags de solicitação de forma dinâmica para isolar uma instância existente. A opção que cria uma função de instância EC2 sem políticas IAM e um security group com um Deny explícito em todo o tráfego, e usa uma Lambda para anexar a função e adicionar uma ACL de rede, é menos direta e eficiente do que simplesmente substituir o Security Group existente por um restritivo.