一個研究團隊需要對其 AWS 帳戶中的資源擁有完整的管理控制權，但必須阻止他們建立 IAM 使用者。該團隊的 IAM Identity Center 權限集授予 AdministratorAccess。您要如何確保研究團隊成員無法建立 IAM 使用者？

正確答案是建立一個 Service Control Policy (SCP) 拒絕 iam:CreateUser，並將該 SCP 附加到研究團隊的 AWS 帳戶。SCP 可以在組織層級限制帳戶中的所有主體（包括根使用者）的權限。即使 IAM Identity Center 權限集授予 AdministratorAccess，SCP 也能覆寫並明確拒絕 iam:CreateUser。 選項一不正確，因為 AdministratorAccess 權限集已經包含所有 IAM 動作。在權限集上附加明確拒絕 iam:CreateUser 的政策會導致權限衝突，且明確拒絕通常會優先，但 SCP 是更強大且組織層級的控制。 選項二不正確，因為權限邊界是限制 IAM 主體（使用者/角色）可以擁有的最大權限，但它們本身不授予權限。它們不能阻止 AdministratorAccess 權限集授予的權限。 選項四不切實際且效率低下。依賴 Lambda 函數來刪除使用者是事後補救措施，無法主動阻止使用者建立，且可能導致時間差和不必要的資源建立。