安全團隊必須確保 CloudTrail 在 AWS Organization 中的所有帳戶中保持啟用狀態，並防止帳戶使用者將其關閉。哪種控制措施可以強制執行此要求？

將服務控制策略 (SCP) 附加到組織單位 (OU) 是確保 CloudTrail 在所有帳戶中保持啟用狀態的最有效方法。SCP 可以在組織層級強制執行最大權限，並拒絕特定動作，例如 cloudtrail:StopLogging 和 cloudtrail:DeleteTrail，即使帳戶管理員也無法覆寫。 在每個帳戶中建立 IAM 拒絕政策雖然可以達到類似效果，但管理起來更複雜，且容易因新帳戶建立或政策遺漏而產生漏洞。CloudWatch 警報和 AWS Config 規則是偵測和回應 CloudTrail 狀態變化的監控工具，但它們無法主動「防止」使用者停用 CloudTrail，只能在事件發生後通知或嘗試修復。因此，SCP 是唯一能強制執行此要求的控制措施。