公司希望對現有的正式環境帳戶和未來建立的任何正式環境帳戶強制執行靜態 Amazon EBS 加密。他們需要一個包含內建藍圖和防護措施的解決方案。哪些步驟組合可以實現此目標？（請選擇三項。）

正確答案組合能有效強制執行靜態 EBS 加密。在組織的管理帳戶中建立新的 AWS Control Tower landing zone，並為正式環境和開發環境建立單獨的 OU，可以提供一個結構化的多帳戶環境，便於管理和應用策略。邀請現有帳戶加入 AWS Organizations 並建立 Service Control Policies (SCPs) 是強制執行合規性的關鍵，因為 SCPs 可以限制帳戶的權限，例如阻止建立未加密的 EBS 卷。最後，建立範圍限定為正式環境 OU 的防護措施（Guardrails）可以主動偵測並防止違反 EBS 加密政策的行為，確保所有正式環境的 EBS 卷都符合要求。 其他選項不夠全面或不符合最佳實踐。例如，僅使用 AWS CloudFormation StackSets 部署 AWS Config 規則可以偵測違規，但無法主動防止。在開發人員帳戶中建立 Control Tower landing zone 不符合最佳實踐，因為 Control Tower 應從組織的管理帳戶部署。從管理帳戶建立防護措施而不限定範圍，可能導致不必要的限制或複雜性。