ある研究チームは、AWSアカウント内のリソースに対する完全な管理制御を必要としていますが、IAMユーザーの作成は禁止されなければなりません。このチームのIAM Identity Centerのアクセス許可セットはAdministratorAccessを付与しています。研究チームのメンバーがIAMユーザーを作成できないようにするには、どうすればよいですか？

正解は、サービスコントロールポリシー（SCP）を使用することです。SCPは組織の管理アカウントから適用され、メンバーアカウントのIAMユーザーやロール、さらにはルートユーザーに対しても、指定されたアクションを明示的に拒否できます。これにより、AdministratorAccessを持つ許可セットが割り当てられていても、iam:CreateUserアクション