La empresa quiere exigir el cifrado en reposo de Amazon EBS para las cuentas de producción existentes y para cualquier cuenta de producción que se cree en el futuro. Quieren una solución que incluya planos y barandillas incorporados. ¿Qué combinación de pasos logrará esto? (Elija tres).

Para exigir el cifrado de EBS en reposo, la mejor práctica es usar AWS Control Tower para establecer una base segura y escalable. Crear una nueva landing zone en la cuenta de administración de la organización y organizar las cuentas en OUs separadas para producción y desarrollo (opción 3) permite una gestión centralizada y la aplicación de políticas. Invitar las cuentas existentes a AWS Organizations y usar Service Control Policies (SCPs) (opción 4) es crucial para imponer restricciones a nivel de organización, como la prohibición de crear volúmenes EBS sin cifrar. Finalmente, crear una barandilla (guardrail) con alcance a la OU de producción para detectar el cifrado de EBS (opción 6) asegura que se monitoree activamente el cumplimiento y se tomen medidas si se detectan recursos no conformes. La opción 1 es incorrecta porque AWS Config no impone políticas, solo las detecta. La opción 2 es incorrecta porque la landing zone debe crearse en la cuenta de administración. La opción 5 es incorrecta porque la barandilla debe tener un alcance específico, idealmente a la OU de producción.