È necessario un processo automatizzato a livello di organizzazione per isolare le istanze Amazon EC2 compromesse quando ricevono un tag specifico. Quale combinazione di passaggi implementerà questo processo su tutti gli account? (Scegliere due.)

La combinazione corretta prevede l'uso di CloudFormation StackSets per distribuire la soluzione in tutti gli account e un modello CloudFormation che definisce la logica di isolamento. CloudFormation StackSets consente di implementare e gestire in modo centralizzato gli stack CloudFormation su più account e regioni, garantendo che la soluzione di isolamento sia presente ovunque. Il secondo passaggio crea un modello CloudFormation per definire un ruolo EC2 senza policy (isolando l'istanza da altre risorse AWS) e un gruppo di sicurezza senza regole (bloccando tutto il traffico di rete). Una funzione Lambda, attivata da EventBridge quando viene applicato il tag specifico, sostituisce il gruppo di sicurezza dell'istanza compromessa con quello restrittivo, isolandola efficacemente. Le opzioni errate non forniscono una soluzione completa o efficace. Un SCP per negare ec2: con un tag di richiesta "isolation" è troppo restrittivo e potrebbe bloccare operazioni legittime. La creazione di un ruolo senza policy IAM e un gruppo di sicurezza con un Deny esplicito, con l'aggiunta di una network ACL tramite Lambda, è un approccio eccessivamente complesso e meno efficiente rispetto alla semplice sostituzione del gruppo di sicurezza.