Un'azienda sta progettando una nuova architettura di app mobile nell'AWS Cloud. L'azienda utilizza le unità organizzative (OU) in AWS Organizations per gestire gli account. L'azienda desidera che le istanze EC2 siano taggate con la sensibilità dei dati utilizzando i valori sensitive e nonsensitive. Le identità IAM non devono essere in grado di eliminare il tag o di creare istanze senza un tag. Quale combinazione di passaggi soddisferà questi requisiti? (Scegliere due.)

La prima opzione corretta è creare una policy di tag in AWS Organizations. Le policy di tag consentono di definire regole per l'applicazione dei tag alle risorse, inclusi i valori consentiti. Allegando questa policy all'OU appropriata, si garantisce che le istanze EC2 all'interno di quell'OU siano taggate con la chiave "sensibilità dei dati" e i valori "sensitive" o "nonsensitive". La seconda opzione corretta è creare due Service Control Policies (SCP). La prima SCP nega la creazione di istanze EC2 se non viene specificato il tag "sensibilità dei dati", impedendo la creazione di istanze non taggate. La seconda SCP impedisce alle identità IAM di eliminare i tag esistenti sulle istanze EC2. Entrambe le SCP, una volta allegate all'OU, rafforzano il requisito di taggare le istanze e di mantenere tali tag. Le opzioni che propongono solo SCP per specificare i valori o solo policy di tag per negare la creazione/eliminazione non soddisfano tutti i requisiti. AWS Config, sebbene utile per la conformità, non impedisce la creazione di risorse non conformi o l'eliminazione di tag in tempo reale senza logica aggiuntiva complessa.