在收购另一家公司并将其作为新的OU添加到 AWS Organizations 后，DevOps 工程师必须确保新的 OU 只能启动 t3.small EC2 实例，并且只能在美国区域启动实例。哪种 SCP 配置可以强制执行这些限制？

正确的SCP配置是使用“拒绝”策略来强制执行限制。当 ec2:InstanceType 不等于 t3.small 时拒绝 ec2:RunInstances 操作，可以确保只有 t3.small 实例类型被允许启动。同样，当 aws:RequestedRegion 不等于 us- 模式时拒绝 ec2:RunInstances 操作，可以确保实例只能在美国区域启动。SCP默认是允许所有操作的，所以通过明确拒绝不符合要求的操作，可以有效地实施限制。 其他选项不正确的原因： 仅允许特定条件（如 t3.small 和 us-）的语句，如果未明确拒绝其他条件，则默认情况下其他条件可能仍然被允许，无法达到限制目的。 使用“拒绝”策略但条件设置错误（例如，当 ec2:InstanceType 等于 t3.small 时拒绝），会导致 t3.small 实例也无法启动，这与需求不符。