一个启用了所有功能的 AWS Organization 管理着多个运行 EC2 实例的账户。公司要求所有当前的 EC2 实例都使用 Instance Metadata Service v2 (IMDSv2)。他们希望阻止所有源自未使用 IMDSv2 的 EC2 实例的 AWS API 调用。哪种方法可以满足此要求？

正确答案是创建一个 SCP，当 ec2:MetadataHttpTokens 条件键值不等于 required 时，拒绝操作，并将其附加到组织根。这是因为 ec2:MetadataHttpTokens 条件键用于控制 EC2 实例元数据服务的版本。将其设置为 required 意味着实例必须使用 IMDSv2。当此条件不满足时拒绝所有操作（），可以有效阻止任何未使用 IMDSv2 的实例进行 AWS API 调用，从而强制所有实例使用 IMDSv2。 其他选项不正确： 拒绝 ec2:RunInstances 只能阻止新实例的启动，而不能阻止现有实例的 API 调用。 ec2:MetadataHttpPutResponseHopLimit 控制的是响应的跳数限制，与强制使用 IMDSv2 无直接关系。 ec2:RoleDelivery 不是一个用于控制 IMDSv2 使用的条件键。