Une entreprise conçoit une nouvelle architecture d'application mobile dans le cloud AWS. L'entreprise utilise des unités d'organisation (OU) dans AWS Organizations pour gérer les comptes. L'entreprise souhaite que les instances EC2 soient étiquetées avec la sensibilité des données en utilisant les valeurs sensitive et nonsensitive. Les identités IAM ne doivent pas pouvoir supprimer l'étiquette ni créer d'instances sans étiquette. Quelle combinaison d'étapes répondra à ces exigences ? (Choisissez deux.)

La création d'une politique de balises dans AWS Organizations permet de définir des règles de balisage pour les ressources, y compris les clés et valeurs autorisées. L'attacher à l'OU appropriée garantit que toutes les instances EC2 lancées dans les comptes de cette OU devront respecter ces balises. Cependant, les politiques de balises ne peuvent pas empêcher la suppression de balises ou la création de ressources sans balises. Pour cela, une politique de contrôle de service (SCP) est nécessaire. Une SCP peut explicitement refuser les actions de création d'instances si la balise requise est absente et refuser les actions de suppression de balises, garantissant ainsi la conformité et la sécurité. Les autres options ne répondent pas entièrement aux exigences. Une règle AWS Config peut détecter la non-conformité mais ne l'empêche pas, et la suppression automatique par Lambda est une mesure réactive, pas proactive.