AWS Organizationsの複数のメンバーアカウントの管理者（アカウントのルート認証情報を持つ管理者を含む）がAmazon DynamoDBを使用できないようにし、他のAWSサービスへのアクセスは維持できるようにする必要があります。この制限を組織全体で適用するには、どの方法が適切ですか？

サービスコントロールポリシー (SCP) は、AWS Organizations内のアカウントが利用できる最大の権限を定義します。管理アカウントから組織のルートにSCPをアタッチすることで、組織内のすべてのメンバーアカウントにポリシーが適用され、DynamoDBへのアクセスを効果的に制限できます。ルートユーザーを含むすべてのプリンシパルにIAMポリシーを個別にアタッチする方法は、アカウント数が多い場合に管理が困難であり、ルートユーザーには直接IAMポリシーをアタッチできません。AmazonDynamoDBFullAccessマネージドポリシーを拒否するIAMポリシーを追加しても、他の方法でDynamoDBにアクセスできる可能性があります。デフォルトSCPを置き換えるのは不必要であり、他のサービスへのアクセスを意図せず制限するリスクがあります。