Firma korzysta z AWS Organizations (wszystkie funkcje włączone) i uruchamia obciążenia EC2 w regionie ap-southeast-2. SCP zapobiega tworzeniu zasobów w innych regionach. Polityka bezpieczeństwa wymaga, aby wszystkie dane w spoczynku były szyfrowane. Audyt wykazał, że pracownicy tworzyli niezaszyfrowane woluminy EBS. Firma chce, aby wszystkie nowe instancje EC2 uruchamiane w ap-southeast-2 przez dowolnego użytkownika IAM lub root używały zaszyfrowanych woluminów EBS, przy minimalnym wpływie na pracowników tworzących woluminy. Która kombinacja kroków spełnia te wymagania? (Wybierz dwie.)

Ustawienie domyślnego szyfrowania woluminów EBS na koncie zarządzającym Organizations lub w konsoli EC2 dla danego regionu automatycznie szyfruje wszystkie nowe woluminy EBS tworzone w tym regionie, spełniając wymóg szyfrowania danych w spoczynku bez wpływu na procesy pracy użytkowników. Jest to najmniej inwazyjne rozwiązanie. Utworzenie SCP (Service Control Policy) i dołączenie go do głównej jednostki organizacyjnej (OU) w AWS Organizations, odmawiającego akcji ec2:CreateVolume gdy warunek ec2:Encrypted jest fałszywy, zapewnia, że żadne niezaszyfrowane woluminy EBS nie zostaną utworzone w żadnym koncie podlegającym tej OU. To rozwiązanie jest skuteczne, ponieważ SCP działają jako nadrzędne zabezpieczenia, które nadpisują uprawnienia IAM i dotyczą wszystkich kont w organizacji. Granice uprawnień IAM (permission boundaries) nie są odpowiednie, ponieważ ograniczają maksymalne uprawnienia tożsamości IAM, ale nie wymuszają szyfrowania na poziomie konta czy organizacji. Aktualizacja polityk IAM dla każdego konta byłaby pracochłonna i trudna do utrzymania w dużej organizacji.