У MediaFlux есть целевая зона Control Tower. Команда безопасности должна предотвратить создание ресурсов за пределами us-east-1 и us-west-2, а также заблокировать любой публичный доступ на чтение к бакетам S3 во всех зарегистрированных аккаунтах. Какие ограждения они должны включить? (Выберите два варианта.)

Для предотвращения создания ресурсов за пределами утвержденных регионов (us-east-1 и us-west-2) необходимо использовать превентивное ограждение Control Tower, которое запрещает действия в неутвержденных регионах. Это ограждение на основе SCP (Service Control Policy) не позволит пользователям создавать ресурсы в нежелательных регионах. Для блокировки публичного доступа на чтение к бакетам S3 также требуется превентивное ограждение Control Tower, запрещающее публичный доступ на чтение к бакетам S3. Это также SCP, который активно предотвращает настройку публичного доступа. Детективные ограждения только обнаруживают нарушения, но не предотвращают их. Настройка S3 Block Public Access вручную или через жизненный цикл не является ограждением Control Tower и не масштабируется на все аккаунты автоматически.