ある企業がAWS Organizations配下で複数のAWSアカウントを使用しています。本番環境用のOUと開発環境用のOUがあります。企業規則では、開発者は本番環境アカウントで事前に承認されたAWSサービスのみを使用することが許可されています。本番環境アカウントに対してこの制限を適用するための最も運用効率の高い方法は何ですか？

サービスコントロールポリシー（SCP）は、AWS Organizations内のアカウントに適用されるアクセス許可のガードレールを設定します。本番環境OUにSCPをアタッチすることで、そのOU内のすべてのアカウントに対して、承認されていないAWSサービスの使用を効果的に制限できます。これは、組織全体のセキュリティとコンプライアンスを維持するための最も運用効率の高い方法です。 顧客管理のIAMポリシーを個々のユーザーにアタッチする方法では、新しいユーザーが追加されるたびにポリシーをアタッチする必要があり、管理が煩雑になります。IAMジョブ機能ポリシーは存在しません。Amazon API GatewayはAPIへのアクセスを管理するサービスであり、AWSサービス全体の利用制限には適していません。