ある組織では、AWS Organizations を使用しており、ルートの下に Research と DataOps の 2 つの OU があります。規制により、組織内のすべてのリソースは ap-northeast-1 リージョンでのみ作成される必要があります。さらに、DataOps OU のアカウントで起動される EC2 インスタンスは、事前定義されたインスタンスタイプセットに制限する必要があります。このソリューションは、効率的に運用でき、継続的なメンテナンスを最小限に抑える必要があります。これらの制約を適用するには、どのアクションの組み合わせが必要ですか？（2つ選択してください。）

リージョン制限は、aws:RequestedRegion 条件キーを使用するSCPをルートOUにアタッチすることで、組織全体に効率的に適用できます。これにより、ap-northeast-1以外のすべてのリージョンでの操作が拒否され、最小限のメンテナンスで規制要件を満たします。EC2インスタンスタイプの制限は、ec2:InstanceType条件キーを使用するSCPをDataOps OUにアタッチすることで実現できます。これにより、DataOps OU内のアカウントのみに特定のインスタンスタイプが許可され、他のOUには影響を与えません。IAMロールやユーザーにポリシーをアタッチする方法は、アカウントごとに設定が必要となり、継続的なメンテナンスが増加するため非効率です。ec2:Region条件キーは、リソースが作成されたリージョンを指すため、リクエストされたリージョンを制限する目的には適していません。