別の会社を買収し、AWS Organizations に新しい OU として追加した後、DevOps エンジニアは、新しい OU が t3.small EC2 インスタンスのみを起動でき、かつ米国のリージョンでのみインスタンスを起動できるようにする必要があります。これらの制約を適用する SCP 設定はどれですか？

このシナリオでは、特定のインスタンスタイプとリージョンに制限を設ける必要があります。SCPはデフォルトで「すべてを許可」するため、許可されていないアクションを明示的に「拒否」する必要があります。したがって、t3.small以外のインスタンスタイプでのec2:RunInstancesを拒否し、us-パターン以外のリージョンでのec2:RunInstancesを拒否する2つのステートメントが必要です。 「許可」ステートメントは、明示的な拒否ステートメントがない限り、他のすべてのインスタンスタイプやリージョンを許可してしまうため、意図した制限にはなりません。また、t3.smallやus-を拒否すると、許可したいものが拒否されてしまいます。