Una empresa debe migrar su centro de datos on-premises a AWS, pero, debido a requisitos de cumplimiento, solo puede usar la Región ap-northeast-3. Los administradores de la empresa no tienen permitido conectar las VPC a internet. ¿Qué soluciones satisfacen estos requisitos? (Elija dos.)

Las opciones correctas son AWS Control Tower y AWS Organizations con SCPs. AWS Control Tower facilita la implementación de barandillas preventivas y detectivas para cumplir con requisitos de conformidad, incluyendo la restricción de regiones y el acceso a internet. AWS Organizations permite aplicar Políticas de Control de Servicios (SCPs) a nivel de organización o unidad organizativa, lo que es ideal para restringir el acceso a internet (por ejemplo, denegando la creación de Internet Gateways) y limitar el uso de regiones específicas, asegurando el cumplimiento a gran escala. La opción de AWS WAF es incorrecta porque WAF opera a nivel de aplicación (capa 7) y no puede restringir el uso de regiones de AWS ni prevenir la conectividad a internet a nivel de VPC. La opción de ACL de red y políticas de IAM es incorrecta porque las ACL de red son a nivel de subred y no evitan la creación de Internet Gateways, y las políticas de IAM son para usuarios y roles, no para restringir el uso de regiones a nivel de cuenta o VPC de forma centralizada. AWS Config es incorrecto porque es una herramienta de auditoría y cumplimiento que detecta y alerta sobre configuraciones no conformes, pero no previene activamente la creación de recursos o el acceso a internet.