某公司政策允許工程師僅能佈建經核准的資源，並強制要求使用 AWS CloudFormation 來建立這些資源。您必須針對工程師擔任的 IAM 角色強制執行此限制。您應該如何實作強制執行？

正確答案是限制工程師的 IAM 角色只能執行 CloudFormation 動作，並透過一個單獨的 IAM 服務角色來授予佈建經核准資源的權限。這樣做可以確保工程師無法直接建立未經核准的資源，而是必須透過 CloudFormation 流程，並且 CloudFormation 只能使用預先定義的服務角色來佈建資源。此方法實現了職責分離，並強制執行了政策。 選項一不夠完善，因為僅限制 S3 存取和 CloudFormation 並不能保證工程師只能佈建經核准的資源類型。選項二雖然限制了資源類型和 CloudFormation 動作，但仍允許工程師直接透過 CloudFormation 佈建資源，而非透過受控的服務角色。選項四僅限制工程師對其擁有堆疊的存取，並未解決只能佈建經核准資源的問題。