某公司希望防止 AWS CloudFormation 堆疊部署包含內聯政策或帶有 "*" 語句的 IAM 資源，並禁止部署帶有公有 IP 位址的 Amazon EC2 實例。該公司已在其 AWS Organizations 組織中啟用 AWS Control Tower。哪種解決方案符合這些要求？

正確答案是使用 AWS Control Tower 主動式控制。主動式控制在資源佈建之前執行檢查，利用 AWS CloudFormation 鉤子 (hooks) 來預防不合規的資源部署。這符合公司希望「防止」部署特定資源的要求，例如帶有公有 IP 的 EC2 實例和包含萬用字元或內聯政策的 IAM 資源。 偵測式控制 (錯誤選項) 僅在資源部署後發出警報，無法阻止不合規的部署。AWS Config (錯誤選項) 雖然可以評估合規性，但其主要功能是偵測和報告，而非在部署前阻止。此外，自動刪除不合規資源可能導致服務中斷，並非預防性措施。服務控制政策 (SCP) (錯誤選項) 可以在組織層級限制 AWS 服務操作，但它無法像 CloudFormation 鉤子那樣檢查模板內容以阻止特定配置的資源部署，例如帶有內聯政策的 IAM 資源或帶有公有 IP 的 EC2 實例。