ある組織では、AWS Organizations の配下に複数の AWS アカウントがあります。管理者はメンバーアカウントでルートユーザー認証情報を使用していましたが、会社はすべてのメンバーアカウントの EC2 リソースに対するルートユーザーのアクションをブロックしたいと考えています。SysOps 管理者がこの要件を一元的に適用するための適切な方法は何ですか？

正解は、組織の管理アカウントから、すべてのメンバーアカウントの EC2 に対するルートユーザーのアクションを拒否するサービスコントロールポリシー (SCP) を作成することです。SCPはAWS Organizationsの機能で、組織内のすべてまたは特定のAWSアカウントにわたってアクセス許可を集中管理できます。これにより、ルートユーザーがEC2リソースに対して特定のアクションを実行することを一元的に防止できます。 各メンバーアカウントにアイデンティティベースのIAMポリシーをアタッチする方法は、個々のアカウントごとに設定が必要で、一元的な管理には適していません。AWS Configはリソースの構成変更を監視するサービスであり、アクションをブロックする機能はありません。Amazon Inspectorはセキュリティ脆弱性を評価するサービスであり、ルートユーザーのアクションをブロックする目的には使用できません。