AWS Control TowerとCloudFormationを使用して、会社はマルチアカウント環境でCloudFormationによって作成されるすべてのS3バケットがAWS KMSキーで暗号化されることを要求しています。この要件を強制するアプローチはどれですか？

このシナリオでは、CloudFormationによって作成されるすべてのS3バケットがAWS KMSキーで暗号化されることを「強制」する必要があります。CloudFormationフックは、CloudFormationスタックの作成、更新、削除イベント中にカスタムロジックを実行できるため、この要件をプロアクティブに強制するのに最適な方法です。プロアクティブなコントロールは、リソースがデプロイされる前にポリシー違反を防ぐことができます。 AWS OrganizationsとSCPを使用するオプションは、S3バケットがすでに作成されている場合にのみ適用され、作成時に暗号化を強制するものではありません。また、SCPはS3バケットの作成を防ぐことはできますが、KMS暗号化を強制することはできません。AWS Config組織ルールは、デプロイ後にコンプライアンスを「検出」するものであり、「強制」するものではありません。ディテクティブなコントロールは、違反が発生した後にのみ通知するため、要件を満たしません。