Een bedrijf gebruikt AWS Organizations (alle functies ingeschakeld) en draait EC2-workloads in ap-southeast-2. Een SCP voorkomt het aanmaken van resources in andere regio's. Een beveiligingsbeleid vereist dat alle data-at-rest versleuteld is. Een audit wees uit dat medewerkers onversleutelde EBS-volumes hebben aangemaakt. Het bedrijf wil dat alle nieuwe EC2-instances die in ap-southeast-2 worden gestart door een IAM- of root-gebruiker, versleutelde EBS-volumes gebruiken, met minimale impact op medewerkers die volumes aanmaken. Welke combinatie van stappen voldoet aan deze vereisten? (Kies twee.)

Het instellen van standaard EBS-volumeversleuteling in het Organizations management account zorgt ervoor dat alle nieuwe EBS-volumes die in de opgegeven regio worden aangemaakt, standaard versleuteld zijn, wat voldoet aan de vereiste voor versleutelde data-at-rest met minimale impact op medewerkers. Het aanmaken van een SCP op de root OU die de ec2:CreateVolume-actie weigert wanneer ec2:Encrypted false is, biedt een extra beveiligingslaag. Dit voorkomt expliciet het aanmaken van onversleutelde volumes, zelfs als de standaardinstelling om de een of andere reden wordt omzeild of niet van toepassing is. Het bijwerken van IAM-beleidsregels per account is minder efficiënt en schaalbaar dan een SCP. Een IAM permission boundary op de root OU is niet de juiste tool, aangezien permission boundaries de maximale permissies van IAM-entiteiten bepalen, niet het gedrag van services afdwingen. Het instellen van het EBS-versleutelingsaccountattribuut in de EC2-console is een per-account, per-regio instelling en biedt geen centrale controle via Organizations.