Une entreprise utilise AWS Organizations (toutes les fonctionnalités sont activées) et exécute des charges de travail EC2 dans la région ap-southeast-2. Une SCP empêche la création de ressources dans d'autres régions. Une politique de sécurité exige que toutes les données au repos soient chiffrées. Un audit a révélé que des employés avaient créé des volumes EBS non chiffrés. L'entreprise souhaite que toutes les nouvelles instances EC2 lancées dans ap-southeast-2 par un utilisateur IAM ou root utilisent des volumes EBS chiffrés, avec un impact minimal sur les employés qui créent des volumes. Quelle combinaison d'étapes répond à ces exigences ? (Choisissez-en deux.)

Pour garantir que toutes les nouvelles instances EC2 utilisent des volumes EBS chiffrés, la première étape consiste à activer le chiffrement EBS par défaut dans la région ap-southeast-2 via le compte de gestion d'Organizations. Cela chiffre automatiquement les nouveaux volumes EBS créés sans action supplémentaire de l'utilisateur. La deuxième étape est de créer une SCP (Service Control Policy) et de l'attacher à l'OU racine. Cette SCP refusera explicitement la création de volumes EBS non chiffrés, agissant comme une mesure de sécurité supplémentaire et empêchant les contournements. Les autres options sont incorrectes car : L'attribut de compte de chiffrement EBS dans la console EC2 est une configuration par compte, pas centralisée pour l'organisation. Les limites d'autorisations IAM s'appliquent aux entités IAM (utilisateurs/rôles) et ne peuvent pas être attachées à une OU. Mettre à jour les politiques IAM pour chaque compte serait fastidieux et moins efficace qu'une SCP centralisée.