組織は、VPC CIDRと非クラウドハードウェアに特定のIPアドレス範囲を委任しています。組織のAWSアカウント全体で、会社のIP範囲外のプリンシパルがAWSアクションを実行できないようにする必要があります。この要件を強制するアプローチはどれですか？

正解は、会社のIP範囲外の送信元IPアドレスからのリクエストを拒否するサービスコントロールポリシー（SCP）を作成し、そのSCPを組織のルートにアタッチすることです。SCPは、AWS Organizations内のアカウントに適用されるガードレールであり、指定された条件（この場合はソースIPアドレス）に基づいてアクションを明示的に拒否できます。組織のルートにアタッチすることで、すべてのAWSアカウントにこの制限が適用されます。 AWS Firewall ManagerとAmazon Network Firewallは、ネットワークトラフィックを検査およびフィルタリングしますが、AWS APIアクションの実行を制御するものではありません。GuardDutyは脅威検出サービスであり、アクセス制御メカニズムではありません。会社のIP