Вам необходимо обеспечить шифрование на стороне сервера для всех томов EBS и очередей SQS, создаваемых или обновляемых стеками CloudFormation во всех аккаунтах в пределах определенного OU, при этом применение должно происходить до операций стека CloudFormation. Какое решение обеспечит это для всего OU?

Правильный ответ — CloudFormation Hooks, развернутые с помощью StackSets. CloudFormation Hooks позволяют выполнять пользовательскую логику перед созданием, обновлением или удалением ресурсов стека, обеспечивая принудительное шифрование до того, как ресурсы будут фактически развернуты. StackSets позволяют развертывать эти хуки единообразно во всех аккаунтах в пределах OU. Остальные варианты не подходят: AWS Config проверяет соответствие после создания ресурсов, а не до. SCP может запретить создание, но не принуждает к шифрованию, если ресурс создан без него. Lambda-функция также будет проверять после создания ресурсов, что не соответствует требованию "до операций стека".