一家金融服務公司在 Amazon EMR 上為調查資料建置了一個分析解決方案。有三種角色需要受控的最低權限存取：管理員（佈建 EMR 叢集）、資料工程師（執行 ETL）和資料分析師（執行 SQL/Hive 查詢）。這些角色應該只能啟動經核准/授權的應用程式，並且他們建立的所有資源都必須加上標籤。哪種解決方案能強制執行這些要求？

AWS Service Catalog 允許組織建立和管理核准的 IT 服務目錄，這些服務可以由使用者部署。透過 Service Catalog，您可以定義 EMR 叢集的產品組合，包括核准的 EMR 版本、叢集組態和強制標籤。這確保了只有預先核准的應用程式可以啟動，並且所有建立的資源都已正確標籤。此外，您可以為每個角色設定特定的權限，以控制他們可以存取和啟動哪些 EMR 產品，從而強制執行最低權限原則。 其他選項不符合所有要求： 僅使用 IAM 角色和 AWS Config 規則無法主動限制使用者只能啟動核准的應用程式，也無法在建立時強制執行標籤。Config 規則是反應性的，用於偵測不合規。 Kerberos 驗證主要用於 EMR 叢集內的身份驗證和授權，但它不直接控制可以啟動哪些應用程式或強制執行資源標籤。 AWS CloudFormation 雖然可以自動化 EMR 部署並附加基於資源的政策，但它本身不提供用於控制使用者可部署服務的目錄功能，也不強制執行預先核准的應用程式和標籤。