一个团队将部署 Amazon SageMaker notebook 实例，但必须确保没有 notebook 实例允许 root 访问。哪种方法可以阻止部署授予 root 权限的 notebook 实例？

IAM 条件键是控制 AWS 资源访问权限的强大工具。通过在 IAM 策略中设置 sagemaker:RootAccess 条件键并将其值设置为 false，可以明确阻止创建任何配置为允许 root 访问的 SageMaker notebook 实例。这是一种在资源创建阶段就进行强制执行的预防性控制措施，确保了合规性。 AWS KMS 密钥主要用于数据加密，无法直接控制 SageMaker notebook 实例的 root 访问权限。EventBridge 和 CloudFormation 结合 Lambda 函数的方法是事后补救措施（删除已创建的违规资源），而不是在创建时就阻止，这不符合“阻止部署”的要求，且可能导致短暂的不合规状态。