ある企業は、AWS Organizations とともに AWS Control Tower を使用しており、開発アカウント（特定の OU に編成されている）がバースト可能な EC2 および RDS インスタンスタイプのみを起動でき、関連のないサービスを使用できないように制限したいと考えています。開発者は多数の個別の開発アカウントを持っています。ソリューションアーキテクトは、これらの制限を適用するためにどの方法を推奨すべきですか？

正解は、予防的コントロール（ガードレール）を開発 OU に適用することです。AWS Control Tower の予防的コントロールは、AWS Organizations のサービスコントロールポリシー (SCP) を基盤としており、指定されたアクションが実行される前にリソースのプロビジョニングや設定変更を防止します。これにより、開発アカウントがバースト可能な EC2 および RDS インスタンスタイプのみを使用し、関連のないサービスを起動できないように強制できます。 カスタムの SCP を直接 AWS Organizations で作成し