Компания хочет запретить стекам AWS CloudFormation развертывать ресурсы IAM, включающие встроенную политику или оператор с символом "*", а также запретить развертывание инстансов Amazon EC2 с публичными IP-адресами. В организации AWS Organizations компании включен AWS Control Tower. Какое решение соответствует этим требованиям?

Проактивные средства контроля AWS Control Tower используют AWS CloudFormation Hooks для проверки развертываний до их создания, что позволяет предотвратить создание ресурсов, не соответствующих требованиям, таких как инстансы EC2 с публичными IP-адресами или IAM-политики с символом "". Детективные средства контроля только обнаруживают несоответствия после развертывания, но не предотвращают их. AWS Config может обнаружить несоответствия, но его интеграция с Systems Manager для удаления ресурсов сложна и не является проактивным решением. SCPs могут блокировать действия, но не могут детально проверять содержимое CloudFormation шаблонов или IAM-политик на наличие символа "", что делает их менее подходящими для этой специфической задачи.