Ein Unternehmen verlangt, dass die gesamte Infrastruktur nur innerhalb von US-Regionen bereitgestellt wird. Der DevOps-Ingenieur muss einschränken, welche Regionen verwendet werden können, sofort auf jede Aktivität außerhalb der Richtlinie aufmerksam machen und die Kontrollen automatisch für jede neue Nicht-US-Region anwenden lassen. Welche Kombination von Aktionen erfüllt diese Anforderungen? (Wählen Sie zwei.)

Die Erstellung einer AWS Organizations Service Control Policy (SCP) am Organisations-Root, die den Zugriff auf Nicht-US-Regionen verweigert, ist die effektivste Methode, um die Bereitstellung von Infrastruktur auf US-Regionen zu beschränken. SCPs gelten für alle Konten in der Organisation und blockieren Aktionen präventiv. Die Aktivierung von AWS CloudTrail in allen Regionen und die Lieferung der Protokolle an CloudWatch Logs, kombiniert mit einem Metrikfilter und Alarm, ermöglicht die sofortige Benachrichtigung über jegliche Aktivitäten außerhalb der Richtlinie. Dies erfüllt die Anforderung, auf Aktivitäten in Nicht-US-Regionen aufmerksam zu machen. Eine Lambda-Funktion, die stündlich nach Dienstaktivitäten sucht, ist reaktiv und nicht sofort. Amazon Inspector ist ein Sicherheitsdienst und nicht für die Überwachung von Regionsbeschränkungen gedacht. Eine SCP, die den Bedingungsschlüssel aws:RequestedRegion verwendet, ist korrekt, aber das Anwenden auf Benutzer, Gruppen und Rollen ist ineffizient und nicht skalierbar für eine gesamte Organisation; die Anwendung am Root ist besser.