特定のOU内のすべてのアカウントでCloudFormationスタックによって作成または更新されるすべてのEBSボリュームとSQSキューに対して、サーバー側の暗号化を強制する必要があります。強制はCloudFormationスタック操作の前に実行されなければなりません。OU全体でこれを強制するソリューションはどれですか？

CloudFormation Hooksは、CloudFormationスタックの作成、更新、または削除の前にカスタムロジックを実行できるため、EBSボリュームとSQSキューのサーバー側暗号化を強制するのに最適です。StackSetsを使用すると、OU内のすべてのアカウントにフックを効率的にデプロイできます。AWS Configはデプロイ後にリソースを評価しますが、デプロイ前に強制する要件を満たしません。SCPはリソースの作成を拒否できますが、CloudFormationスタック操作の前に特定の暗号化設定を強制するほど粒度が細かくありません。Lambda関数はデプロイ後にチェックを行いますが、デプロイ前の強制要件には対応できません。