Ein Unternehmen nutzt AWS Organizations (alle Funktionen aktiviert) und betreibt EC2-Workloads in ap-southeast-2. Eine SCP verhindert die Ressourcenerstellung in anderen Regionen. Eine Sicherheitsrichtlinie verlangt, dass alle ruhenden Daten verschlüsselt werden. Eine Prüfung ergab, dass Mitarbeiter unverschlüsselte EBS-Volumes erstellt haben. Das Unternehmen möchte, dass alle neuen EC2-Instances, die in ap-southeast-2 von einem IAM- oder Root-Benutzer gestartet werden, verschlüsselte EBS-Volumes verwenden, mit minimalen Auswirkungen auf Mitarbeiter, die Volumes erstellen. Welche Kombination von Schritten erfüllt diese Anforderungen? (Wählen Sie zwei.)

Die Angabe der Standard-EBS-Volume-Verschlüsselung im Organisations-Verwaltungskonto stellt sicher, dass alle neuen EBS-Volumes, die in den Mitgliedskonten erstellt werden, standardmäßig verschlüsselt sind. Dies erfüllt die Anforderung, dass neue EC2-Instances verschlüsselte EBS-Volumes verwenden, und minimiert die Auswirkungen auf die Mitarbeiter, da sie keine zusätzlichen Schritte unternehmen müssen. Die Erstellung einer SCP, die an die Stamm-OU angehängt wird und die Aktion ec2:CreateVolume verweigert, wenn ec2:Encrypted auf false gesetzt ist, bietet eine zusätzliche Schutzschicht. Sie stellt sicher, dass selbst wenn die Standardverschlüsselung umgangen wird, keine unverschlüsselten Volumes erstellt werden können. Eine IAM-Berechtigungsgrenze wäre für einzelne IAM-Prinzipale, nicht für die gesamte Organisation. Das Aktualisieren von IAM-Richtlinien für jedes Konto wäre aufwendig und fehleranfällig. Das EBS-Verschlüsselungskontoattribut in der EC2-Konsole ist eine Einstellung pro Konto und nicht organisationsweit.