您必须确保所有资源都仅部署在 europe-west3 区域，并遵循 Google 推荐的最佳实践。您应该如何在组织层面强制执行此操作？

正确答案是“将 constraints/gcp.resourceLocations 组织策略约束设置为 in:europe-west3-locations”。这是因为 constraints/gcp.resourceLocations 组织策略约束专门用于在组织层面限制资源部署的地理位置。将其设置为 in:europe-west3-locations 可以确保所有新创建的资源都必须位于 europe-west3 区域。 使用 Terraform 部署资源并添加变量验证规则只能在 Terraform 管理的范围内强制执行，无法阻止用户通过其他方式（例如 Google Cloud Console 或 gcloud CLI）在其他区域创建资源。 将约束设置为 in:eu-locations 会允许资源部署在所有欧盟区域，而不仅仅是 europe-west3，不符合题目要求。 创建一个 Cloud Function 来检测和删除不合规的资源是一种事后补救措施，而不是在资源创建时进行预防性强制执行，不符合“强制执行”的最佳实践。