ある企業は、インラインポリシーまたは「*」を含むステートメントを持つIAMリソースをデプロイするAWS CloudFormationスタックと、パブリックIPアドレスを持つAmazon EC2インスタンスのデプロイを禁止したいと考えています。この企業は、AWS Organizations組織でAWS Control Towerを有効にしています。これらの要件を満たすソリューションはどれですか？

AWS Control Towerのプロアクティブコントロールは、リソースがプロビジョニングされる前に、CloudFormationフックを使用してリソースが組織のポリシーに準拠していることを確認します。これにより、パブリックIPアドレスを持つEC2インスタンスや、インラインポリシーに「」を含むIAMリソースのデプロイを、そもそも阻止できます。 ディテクティブコントロールは、デプロイ後にリソースの非準拠を検出しますが、デプロイをブロックするわけではありません。AWS Configはデプロイ後のコンプライアンスチェックに使用され、非準拠リソースの削除は可能ですが、デプロイ自体を阻止するものではありません。SCPは特定のアクションを拒否できますが、CloudFormationスタック内のリソースの構成内容（例えば、インラインポリシーの「」）を直接検査してデプロイをブロックするのには適していません。