Un'AWS Organization con una sola OU esegue istanze EC2 in account membri. L'azienda deve garantire che le credenziali di ogni istanza EC2 possano essere utilizzate solo dall'istanza EC2 specifica a cui sono state rilasciate. Quale configurazione SCP imporrà questo?

L'opzione corretta utilizza le chiavi di condizione aws:EC2InstanceSourceVPC, aws:SourceVpc, aws:EC2InstanceSourcePrivateIPv4 e aws:VpcSourceIp per garantire che le credenziali vengano utilizzate solo dall'istanza EC2 specifica a cui sono state rilasciate. Confrontando aws:EC2InstanceSourceVPC (il VPC dell'istanza che ha emesso le credenziali) con aws:SourceVpc (il VPC da cui proviene la richiesta) e aws:EC2InstanceSourcePrivateIPv4 (l'IP privato dell'istanza che ha emesso le credenziali) con aws:VpcSourceIp (l'IP privato da cui proviene la richiesta), si verifica che la richiesta provenga dalla stessa istanza EC2 e dallo stesso VPC che detiene le credenziali. L'applicazione dell'SCP all'OU garantisce che questa policy sia applicata a tutti gli account membri. L'opzione errata che verifica aws:VpcSourceIp con un blocco CIDR e aws:EC2InstanceSourcePrivateIpv4 con aws:SourceVpc non garantisce l'associazione specifica all'istanza, ma solo al VPC o a un intervallo IP. Le opzioni che elencano valori accettabili per VPC o IP sono meno dinamiche e scalabili, richiedendo aggiornamenti manuali. L'opzione che scambia i confronti tra aws:VpcSourceIp e aws:SourceVpc non è logicamente corretta per l'intento.