Una empresa requiere que toda la infraestructura se implemente únicamente dentro de las Regiones de EE. UU. El ingeniero de DevOps debe restringir qué Regiones se pueden usar, alertar inmediatamente sobre cualquier actividad fuera de la política y hacer que los controles se apliquen automáticamente para cualquier nueva Región que no sea de EE. UU. ¿Qué combinación de acciones satisfará estos requisitos? (Elija dos.)

La creación de una Service Control Policy (SCP) de AWS Organizations que deniegue el acceso a servicios no globales en Regiones que no sean de EE. UU. y su adjunción a la raíz de la organización es la forma más efectiva de aplicar controles automáticos y restringir el uso de Regiones. Las SCPs aplican permisos a nivel de cuenta y organización, asegurando que la política se cumpla para todas las cuentas miembro y cualquier nueva cuenta. Habilitar AWS CloudTrail en todas las Regiones y enviar los logs a CloudWatch Logs, junto con un filtro de métricas, permite detectar y alertar inmediatamente sobre cualquier actividad fuera de la política. Las otras opciones son incorrectas porque: Implementar una función Lambda programada es reactivo y no aplica controles preventivos. Amazon Inspector se enfoca en la seguridad y vulnerabilidades, no en la restricción de Regiones o la detección de actividad fuera de política. Una SCP que use aws:RequestedRegion es correcta, pero la opción especifica aplicarla a usuarios, grupos y roles, lo cual es menos escalable y efectivo que adjuntarla a la raíz de la organización para un control centralizado en todas las cuentas.