某企业希望开发人员只能通过 AWS Marketplace 中的 Private Marketplace 购买经批准的第三方软件。该公司使用已启用所有功能的 AWS Organizations，并在每个 OU 中为采购经理设置了一个共享服务账户。采购管理必须仅限于名为 procurement-manager-role 的角色（可由采购经理承担）。所有其他 IAM 用户、组、角色和账户管理员必须被拒绝 Private Marketplace 管理访问权限。为了满足这些要求，最有效的架构是什么？

正确答案通过在共享服务账户中创建具有所需权限的特定角色，并使用组织根级服务控制策略 (SCP) 来严格限制 Private Marketplace 管理访问，从而满足了所有要求。第一个 SCP 确保只有 procurement-manager-role 才能执行 Private Marketplace 管理操作，而第二个 SCP 阻止了其他用户创建同名角色来绕过限制。 其他选项不正确： 选项一和选项二的权限管理过于复杂或不安全，且未能有效限制 Private Marketplace 访问。 选项四的 SCP 应用范围不正确，仅应用于共享服务账户无法有效限制整个组织。