ある会社がAWS Organizationsで組織を運用しています。この会社は、ルート組織単位 (OU) 内の4つのAWSアカウント (非本番アカウント3つと本番アカウント1つ) でAmazon EC2インスタンスを実行しています。この会社は、非本番アカウントで特定のサイズのEC2インスタンスを起動することを禁止したいと考えています。同社は、禁止されているインスタンスタイプの起動を拒否するサービスコントロールポリシー (SCP) を作成しました。SCPをデプロイするためのどのソリューションがこれらの要件を満たしますか？ (2つ選択)

SCPは、アタッチされたエンティティ（ルート、OU、またはアカウント）とその子孫に適用されます。 1. SCPを3つの非本番Organizationsメンバーアカウントにアタッチする。 この方法は、特定の非本番アカウントに直接SCPを適用するため、要件を満たします。本番アカウントには影響しません。 2. 必要なアカウント用のOUを作成する。SCPをそのOUにアタッチする。非本番メンバーアカウントを新しいOUに移動する。 この方法は、非本番アカウントをグループ化し、そのOUにSCPを適用することで、効率的に要件を満たします。OU内のすべての子アカウントにSCPが適用されます。 SCPを組織のルートOUにアタッチすると、本番アカウントにもSCPが適用されてしまうため、要件を満たしません。SCPをOrganizations管理アカウントにアタッチしても、他のメンバーアカウントには適用されません。本番アカウント用のOUを作成し、SCPをアタッチしても、非本番アカウントには影響しません。