Une organisation utilise AWS Organizations avec deux unités d'organisation (OU) sous la racine : Research et DataOps. Les règles réglementaires exigent que toutes les ressources de l'organisation soient créées uniquement dans la région ap-northeast-1. De plus, les instances EC2 lancées dans les comptes sous l'OU DataOps doivent être limitées à un ensemble prédéfini de types d'instances. La solution doit être efficace à opérer et nécessiter une maintenance continue minimale. Quelle combinaison d'actions appliquera ces contraintes ? (Choisissez-en deux.)

La première action correcte consiste à créer une SCP utilisant aws:RequestedRegion pour restreindre toutes les ressources à ap-northeast-1 et à l'attacher à l'OU racine. Les SCP appliquées à la racine affectent tous les comptes et OU en dessous, garantissant ainsi la conformité réglementaire pour l'ensemble de l'organisation. La deuxième action correcte est de créer une SCP utilisant ec2:InstanceType pour limiter les types d'instances EC2 et de l'attacher à l'OU DataOps. Cette SCP s'appliquera uniquement aux comptes sous DataOps, répondant à l'exigence spécifique de cette OU. Les options incorrectes sont : Créer un rôle IAM ou un utilisateur IAM avec des politiques en ligne n'est pas efficace à opérer ni à maintenir. Les politiques IAM sont gérées au niveau du compte, ce qui nécessiterait de les appliquer et de les maintenir dans chaque compte individuellement, contrairement à l'exigence de maintenance minimale. Utiliser la clé de condition ec2:Region pour bloquer les requêtes n'est pas la bonne approche pour restreindre les régions. aws:RequestedRegion est la clé de condition standard pour contrôler les régions de requêtes. De plus, attacher la SCP à chaque OU individuellement est redondant si elle est déjà attachée à la racine.