Organizacja używa AWS Organizations z dwiema jednostkami organizacyjnymi (OU) pod katalogiem głównym: Research i DataOps. Przepisy regulacyjne wymagają, aby wszystkie zasoby w organizacji były tworzone tylko w regionie ap-northeast-1. Dodatkowo, instancje EC2 uruchamiane na kontach w ramach OU DataOps muszą być ograniczone do z góry określonego zestawu typów instancji. Rozwiązanie musi być wydajne w działaniu i wymagać minimalnej bieżącej konserwacji. Jaka kombinacja działań wymusi te ograniczenia? (Wybierz dwie.)

Pierwsza poprawna odpowiedź to utworzenie polityki kontroli usług (SCP) z warunkiem aws:RequestedRegion i dołączenie jej do głównej jednostki organizacyjnej. SCP na poziomie głównym wymusi ograniczenie regionu ap-northeast-1 dla wszystkich kont w organizacji, zapewniając zgodność z przepisami regulacyjnymi w sposób scentralizowany i z minimalną konserwacją. Druga poprawna odpowiedź to utworzenie SCP z warunkiem ec2:InstanceType i dołączenie jej do OU DataOps. Ta SCP ograniczy typy instancji EC2 tylko dla kont w OU DataOps, spełniając specyficzne wymagania tej jednostki organizacyjnej. Pozostałe opcje są nieprawidłowe: Tworzenie ról IAM na pojedynczych kontach jest mniej wydajne i trudniejsze w utrzymaniu niż SCP dla całej organizacji. Tworzenie użytkowników IAM na każdym koncie z polityką ograniczającą region jest nieefektywne i nie skaluje się dobrze. Użycie ec2:Region zamiast aws:RequestedRegion w SCP jest mniej precyzyjne i może nie działać dla wszystkich usług. Dołączanie tej samej SCP do wielu OU jest zbędne, jeśli można ją zastosować na poziomie głównym.