Ein Unternehmen muss sein lokales Rechenzentrum zu AWS migrieren, darf aber aus Compliance-Gründen nur die Region ap-northeast-3 verwenden. Unternehmensadministratoren dürfen VPCs nicht mit dem Internet verbinden. Welche Lösungen erfüllen diese Anforderungen? (Wählen Sie zwei.)

AWS Control Tower und AWS Organizations mit Service Control Policies (SCPs) sind die effektivsten Lösungen, da sie präventive Kontrollen auf Organisationsebene bieten. Control Tower bietet vordefinierte Guardrails, die sowohl den Internetzugang als auch die Nutzung unerwünschter Regionen blockieren können. SCPs in AWS Organizations ermöglichen es, detaillierte Berechtigungen zu definieren, die verhindern, dass VPCs Internetzugang erhalten (z.B. durch das Blockieren der Erstellung von Internet-Gateways) und die die Nutzung aller Regionen außer ap-northeast-3 verweigern. Die Option mit AWS WAF ist falsch, da WAF eine Firewall für Webanwendungen ist und nicht den gesamten Internetzugang einer VPC kontrolliert oder Regionen blockiert. Die Option mit Netzwerk-ACLs und IAM-Richtlinien ist unpraktisch und fehleranfällig, da sie manuelle Konfigurationen pro VPC und Benutzer erfordert und keine präventive Kontrolle auf Organisationsebene bietet. AWS Config ist ein Audit-Tool, das Ressourcen überwacht und alarmiert, aber keine präventiven Maßnahmen ergreift, um die Anforderungen zu erzwingen.