ある企業の DevOps チームは、AWS Organizations 組織内で複数の AWS アカウントを管理しています。DevOps チームが承認した AMI のみを使用するようにすべての Amazon EC2 インスタンスを確実にし、承認されていない AMI から起動されたインスタンスを自動的に修復する必要があります。個々のアカウント管理者は、この制限を解除できないようにする必要があります。この要件を満たすソリューションはどれですか？

正解は、AWS Config を組織全体で有効にし、approved-amis-by-id AWS Config マネージドルールを含むコンフォーマンスパックを作成し、組織全体にデプロイして、非準拠の EC2 インスタンスに対して AWS-StopEC2Instance Systems Manager Automation ランブックを実行するように設定することです。これにより、組織内のすべてのアカウントで承認された AMI のみが使用され、非準拠のインスタンスは自動的に停止されます。組織レベルでデプロイされるため、個々のアカウント管理者がこの制限を解除することはできません。 他の選択肢は、通知のみで自動修復がなかったり、組織全体に強制する仕組みが不十分だったり、個々のアカウントで設定を上書きされる可能性があるため、要件を満たしません。