Une organisation AWS avec une seule OU exécute des instances EC2 dans des comptes membres. L'entreprise doit s'assurer que les informations d'identification de chaque instance EC2 ne peuvent être utilisées qu'à partir de l'instance EC2 spécifique à laquelle elles ont été attribuées. Quelle configuration de SCP appliquera cette règle ?

La bonne réponse utilise les clés de condition aws:EC2InstanceSourceVPC et aws:SourceVpc pour s'assurer que l'appel provient du même VPC que l'instance EC2, et aws:EC2InstanceSourcePrivateIPv4 et aws:VpcSourceIp pour s'assurer que l'appel provient de l'adresse IP privée de l'instance. Ces clés garantissent que les informations d'identification ne sont utilisées que par l'instance EC2 à laquelle elles sont attribuées. L'application du SCP à l'OU garantit une application cohérente à tous les comptes membres. Les autres options sont incorrectes car : La première option utilise aws:VpcSourceIp et aws:VpcSourceIp de manière incorrecte, et ne vérifie pas la correspondance entre l'instance et le VPC ou l'IP privée. La troisième option est trop restrictive et difficile à maintenir, car elle nécessite d'énumérer toutes les valeurs acceptables de VPC et d'adresses IP, ce qui n'est pas évolutif. La quatrième option mélange les clés de condition (aws:EC2InstanceSourceVPC avec aws:VpcSourceIp et aws:EC2InstanceSourcePrivateIPv4 avec aws:SourceVpc), ce qui ne correspond pas à la logique de vérification souhaitée.