Un'organizzazione utilizza AWS Organizations con due OU sotto la root: Research e DataOps. Le normative richiedono che tutte le risorse nell'organizzazione siano create solo nella regione ap-northeast-1. Inoltre, le istanze EC2 avviate negli account sotto l'OU DataOps devono essere limitate a un set predefinito di tipi di istanza. La soluzione deve essere efficiente da gestire e richiedere una manutenzione continua minima. Quale combinazione di azioni imporrà questi vincoli? (Scegliere due.)

La prima azione corretta è creare una SCP che utilizzi la chiave di condizione aws:RequestedRegion per negare tutte le regioni tranne ap-northeast-1 e allegarla alla root. Le SCP applicate alla root si propagano a tutti gli account e OU, garantendo che tutte le risorse siano create solo nella regione specificata, soddisfacendo il requisito normativo in modo efficiente. La seconda azione corretta è creare una SCP che utilizzi la chiave di condizione ec2:InstanceType per consentire solo tipi di istanza EC2 specifici e allegarla all'OU DataOps. Questo limita i tipi di istanza EC2 solo per gli account sotto l'OU DataOps, come richiesto. Le opzioni che suggeriscono ruoli o utenti IAM sono meno efficienti e più difficili da gestire su larga scala, poiché richiederebbero configurazioni individuali per ogni account o utente. L'opzione che usa ec2:Region non è corretta per limitare le regioni a livello globale; aws:RequestedRegion è la chiave di condizione appropriata per questo scopo.