一家公司使用 AWS Organizations 并在 AWS Control Tower 中部署了一个着陆区。该公司需要治理，以便检测生产 OU 中未进行静态加密的 Amazon RDS DB 实例。哪种解决方案满足此要求？

正确答案是启用 AWS Control Tower 强烈推荐的防护措施。AWS Control Tower 提供了预配置的防护措施，其中包含检测未加密 Amazon RDS DB 实例的规则。这些防护措施可以直接应用于特定的 OU，例如生产 OU，以确保合规性。 强制性防护措施通常是预防性的，用于阻止某些操作，而不是检测现有资源。自定义服务控制策略 (SCP) 也是预防性的，用于限制账户可以执行的操作，而不是检测不合规的资源。使用 AWS Config 创建新的强制性防护措施虽然可行，但 Control Tower 已经提供了现成的解决方案，因此选择 Control Tower 提供的防护措施更为高效和推荐。