Een bedrijf moet zijn on-premises datacenter migreren naar AWS, maar mag vanwege compliance-eisen alleen de ap-northeast-3 Regio gebruiken. Bedrijfsbeheerders mogen VPC's niet verbinden met het internet. Welke oplossingen voldoen aan deze eisen? (Kies er twee.)

De correcte antwoorden zijn: "Gebruik AWS Control Tower om guardrails voor data residency te implementeren die internettoegang weigeren en die alle AWS Regio's behalve ap-northeast-3 blokkeren" en "Gebruik AWS Organizations om service control policies (SCP's) te maken die voorkomen dat VPC's internettoegang krijgen en die alle AWS Regio's behalve ap-northeast-3 weigeren." AWS Control Tower en AWS Organizations met SCP's zijn de meest effectieve manieren om organisatiebreed beleid af te dwingen voor regioselectie en internettoegang. Control Tower biedt vooraf geconfigureerde guardrails, inclusief data residency, die internettoegang kunnen weigeren en regiogebruik kunnen beperken. SCP's in Organizations maken gedetailleerde controle mogelijk over welke acties gebruikers en rollen kunnen uitvoeren, inclusief het creëren van internetgateways en het gebruik van specifieke regio's. AWS WAF is een webapplicatie-firewall en is niet geschikt om internettoegang op VPC-niveau te voorkomen of regiogebruik te beperken. Netwerk-ACL's zijn op VPC-niveau en vereisen handmatige configuratie voor elke VPC, wat niet schaalbaar is voor een organisatie. IAM-beleid per gebruiker is ook niet schaalbaar en kan worden omzeild als een gebruiker een andere rol aanneemt. AWS Config detecteert en waarschuwt, maar voorkomt niet proactief het creëren van resources of internetgateways.