Una AWS Organization con una sola OU ejecuta instancias EC2 en cuentas miembro. La empresa necesita asegurarse de que las credenciales de cada instancia EC2 solo puedan usarse desde la instancia EC2 específica a la que se emitieron. ¿Qué configuración de SCP aplicará esto?

La opción correcta utiliza las claves de condición aws:EC2InstanceSourceVPC, aws:SourceVpc, aws:EC2InstanceSourcePrivateIPv4 y aws:VpcSourceIp para garantizar que las credenciales de una instancia EC2 solo se puedan usar desde la VPC y la dirección IP privada de esa instancia específica. aws:EC2InstanceSourceVPC y aws:EC2InstanceSourcePrivateIPv4 representan el contexto de la instancia EC2 que emitió las credenciales, mientras que aws:SourceVpc y aws:VpcSourceIp representan el contexto desde donde se realiza la llamada API. Al verificar que estos pares de claves sean idénticos, se restringe el uso de las credenciales a su origen legítimo, denegando cualquier intento de uso desde una ubicación diferente. Aplicar el SCP a la OU asegura que la política se propague a todas las cuentas miembro, manteniendo la seguridad consistente. Las opciones incorrectas no logran esta validación precisa. La primera opción invierte incorrectamente las claves o usa aws:VpcSourceIp de forma menos específica. La tercera opción requiere mantener listas de VPCs e IPs, lo cual es inescalable y no garantiza la vinculación directa con la instancia emisora. La cuarta opción mezcla incorrectamente las claves de condición, lo que resultaría en una política ineficaz.