Een organisatie gebruikt AWS Organizations met twee OU's onder de root: Research en DataOps. Regelgevende voorschriften vereisen dat alle resources in de organisatie alleen in de ap-northeast-1 Region worden aangemaakt. Bovendien moeten EC2-instances die worden gestart in accounts onder de DataOps OU, worden beperkt tot een vooraf gedefinieerde set instancetypen. De oplossing moet efficiënt te beheren zijn en minimale doorlopende onderhoud vereisen. Welke combinatie van acties zal deze beperkingen afdwingen? (Kies twee)

De eerste correcte optie is om een Service Control Policy (SCP) te maken die de aws:RequestedRegion condition key gebruikt om alle regio's te blokkeren, behalve ap-northeast-1, en deze te koppelen aan de root OU. Dit dwingt de regionale beperking af voor alle accounts binnen de organisatie, inclusief de Research en DataOps OU's, en is efficiënt omdat het slechts één beleid op het hoogste niveau vereist. De tweede correcte optie is om een SCP te maken die de ec2:InstanceType condition key gebruikt om alleen specifieke EC2-instancetypen toe te staan, en deze te koppelen aan de DataOps OU. Dit voldoet aan de vereiste om EC2-instancetypen te beperken voor accounts onder de DataOps OU, zonder de Research OU te beïnvloeden. SCP's zijn de aanbevolen methode voor het afdwingen van dergelijke organisatiebrede beperkingen vanwege hun centrale beheer en minimale onderhoud. De incorrecte opties zijn minder efficiënt of voldoen niet volledig aan de eisen. Het aanmaken van IAM-rollen of gebruikers in elk account is niet schaalbaar en vereist veel onderhoud. Het gebruik van ec2:Region in plaats van aws:RequestedRegion is minder uitgebreid voor het afdwingen van regionale beperkingen op alle services.