您需要對特定 OU 中所有帳戶透過 CloudFormation 堆疊建立或更新的所有 EBS 磁碟區和 SQS 佇列強制執行伺服器端加密，且強制執行必須在 CloudFormation 堆疊操作之前發生。哪種解決方案可以在整個 OU 中強制執行此操作？

正確答案是透過 CloudFormation Hook 和 StackSets 實現。CloudFormation Hook 允許您在資源佈建之前執行自訂邏輯，例如檢查伺服器端加密。透過為 StackSets 啟用信任存取，您可以將此 Hook 部署到 OU 中的所有帳戶。這確保了在任何 CloudFormation 堆疊嘗試建立或更新 EBS 磁碟區或 SQS 佇列之前，加密要求就已經被強制執行，符合「在 CloudFormation 堆疊操作之前發生」的條件。 其他選項的不足之處： AWS Config 規則是在資源佈建之後進行評估，不符合「在 CloudFormation 堆疊操作之前」的要求。 SCP 可以拒絕操作，但無法在資源建立前檢查其屬性，且無法直接強制執行加密。 Lambda 函數需要輪詢或事件觸發，同樣無法在 CloudFormation 堆疊操作之前即時強制執行。