ある金融サービス会社が、調査データ用の分析ソリューションを Amazon EMR 上に構築しています。管理者（EMR クラスターをプロビジョニング）、データエンジニア（ETL を実行）、データアナリスト（SQL/Hive クエリを実行）の3つのペルソナに対して、制御された最小特権アクセスが必要です。これらのペルソナは、承認されたアプリケーションのみを起動でき、作成するすべてのリソースにはタグ付けが必須です。これらの要件を満たすソリューションはどれですか？

AWS Service Catalogは、承認されたITサービス（この場合は特定のEMRクラスター構成）のカタログを作成し、ユーザーがそれらをセルフサービスでデプロイできるようにします。これにより、各ペルソナは定義された制約内で必要なEMRクラスターを起動でき、管理者は利用可能なオプションを制御できます。タグ付け要件もService Catalogの制約として適用できます。IAMロールとアイデンティティベースのポリシーだけでは、承認されたアプリケーションの起動やリソースのタグ付け強制といった要件を直接満たすのは困難です。Kerberos認証はセキュリティを強化しますが、アクセス制御やリソースのタグ付け強制の要件には対応しません。CloudFormationはリソースのプロビジョニングに役立ちますが、Service Catalogのように承認されたアプリケーションの起動やリソース選択の強制を直接提供するものではありません。