ある企業がAWS Cloudで新しいモバイルアプリのアーキテクチャを設計しています。この企業は、AWS Organizationsの組織単位 (OU) を使用してアカウントを管理しています。EC2インスタンスには、データの機密性を示すタグをsensitiveとnonsensitiveの値で付ける必要があります。IAM IDは、タグを削除したり、タグなしでインスタンスを作成したりできないようにする必要があります。これらの要件を満たすステップの組み合わせはどれですか？（2つ選択してください。）

正しい選択肢は、AWS Organizationsでタグポリシーを作成し、必須のデータ機密性タグキーと値を指定して、EC2インスタンスに適用することです。これにより、タグの削除やタグなしでのインスタンス作成を防ぎ、タグ付けを強制できます。もう一つの正しい選択肢は、SCPを使用して、タグキーが指定されていないインスタンスの作成を拒否し、タグの削除を防ぐことです。SCPは、組織内のアカウントに対するアクセス許可を集中管理し、ガードレールを設定するために使用されます。 誤った選択肢は、SCPでタグ値を強制しようとするものですが、SCPはタグの存在や特定のタグキーの有無を強制できますが、タグの「値」を直接強制することはできません。AWS Configルールは、リソースが準拠しているかを確認するためのものであり、タグ付けを強制するものではありません。また、非準拠のリソースを自動的に削除するLambda関数は、データ損失のリスクがあるため、一般的に推奨されるアプローチではありません。