一个使用时间不到一年的账户位于 AWS Organizations 的一个 OU 中。公司希望建立一个 Organizations 结构和一个 SCP，只允许该账户当前正在使用的服务。将使用 IAM Access Analyzer 来确定活动服务。哪些步骤可以实现此要求？

正确答案通过创建允许特定服务的SCP来实施最小权限原则。将账户移入新的OU，并将此SCP附加到该OU，确保策略仅适用于目标账户。从OU分离默认的FullAWSAccess SCP至关重要，因为它会覆盖更严格的策略，导致权限过高。 选项B不正确，因为拒绝策略通常比允许策略更难管理，并且可能无意中阻止了所需的服务。 选项C不正确，将SCP附加到组织根会影响所有账户，这与只限制特定账户的要求不符。 选项D不正确，将SCP附加到管理账户不会影响该OU中的其他账户，并且管理账户通常需要更广泛的权限。此外，分离FullAWSAccess SCP是必要的，但此选项的策略附件位置错误。