一位 SysOps 管理员需要限制 Systems Manager Session Manager 对特定 EC2 实例组的访问。这些实例已经使用所需的标签进行了标记。管理员必须执行哪些额外任务来实施访问控制？（选择两项。）

要限制 Session Manager 对特定 EC2 实例组的访问，需要两个关键步骤。首先，必须将适当的 IAM 策略附加到需要 Session Manager 访问权限的用户或组。这定义了谁可以尝试使用 Session Manager。其次，该 IAM 策略必须包含一个 Condition 元素，该元素使用标签来限制 Session Manager 只能连接到具有指定标签的 EC2 实例。这确保了只有带有正确标签的实例才能被访问。 直接附加 IAM 角色到用户或组是正确的，但它本身不足以限制对特定实例的访问。创建放置组与 Session Manager 的访问控制无关。创建服务账户并将其安装在 EC2 实例上也不是 Session Manager 访问控制的标准或推荐方法。