MediaFluxはControl Towerランディングゾーンを持っています。セキュリティチームは、us-east-1およびus-west-2以外でのリソース作成を防止し、登録されているすべてのアカウントのS3バケットへのパブリック読み取りアクセスをブロックする必要があります。どのガードレールを有効にすべきですか？（2つ選択してください。）

Control Towerの予防的ガードレールは、組織のポリシーに違反するアクションを事前にブロックします。選択肢1は、承認されていないリージョンでのリソース作成を防止する要件を満たします。選択肢2は、S3バケットへのパブリック読み取りアクセスをブロックする要件を満たします。これらは、組織のセキュリティ要件を強制するための最も効果的な方法です。 発見的ガードレール（選択肢3、5）は、ポリシー違反を検出してアラートを発しますが、アクションをブロックしません。この問題の要件は「防止する」ことであるため、発見的ガードレールは不適切です。選択肢4は、Control Towerのライフサイクルアクションではなく、ガードレールとして設定すべきものです。また、各アカウントで手動設定するのではなく、Control Towerのガードレールとして一元的に管理するのが適切です。