一个组织在 AWS Organizations 中有两个组织单元（OU），它们都位于根（root）下：Research 和 DataOps。监管规定要求组织中的所有资源只能在 ap-northeast-1 区域创建。此外，在 DataOps OU 下的账户中启动的 EC2 实例必须限制为一组预定义的实例类型。该解决方案必须高效运行并需要最少的持续维护。哪种操作组合将强制执行这些限制？（选择两项。）

第一个正确选项通过在根 OU 附加一个使用 aws:RequestedRegion 条件键的 SCP，有效地限制了所有账户只能在 ap-northeast-1 区域创建资源。SCP 是一种强大的组织级控制，可以应用于整个组织结构，确保了合规性并减少了管理开销。第二个正确选项通过在 DataOps OU 附加一个使用 ec2:InstanceType 条件键的 SCP，精确地限制了该 OU 下账户中 EC2 实例的类型，满足了特定业务需求。SCP 具有继承性，因此附加到 OU 的策略会影响其下的所有账户，实现了高效且低维护的集中管理。 第一个错误选项创建 IAM 角色和内联策略，这只适用于单个账户，无法在组织层面强制执行区域限制，且需要大量手动配置。第二个错误选项创建 IAM 用户和内联策略同样只适用于单个账户，且管理复杂，不符合高效和最少维护的要求。第三个错误选项使用 ec2:Region 条件键而不是 aws:RequestedRegion，前者在某些情况下可能无法完全阻止跨区域操作，且将其附加到所有 OU 而非根 OU 增加了不必要的复杂性。