某專案帳戶（不允許加入公司的 AWS Organization）正在啟動超出需求的 EC2 instances。公司希望限制該帳戶，讓開發人員只能在 us-east-2 區域啟動 t3.small instances。解決方案架構師應該怎麼做才能在專案帳戶中強制執行這些要求？

正確答案是建立一個 IAM policy，只允許在 us-east-2 區域啟動 t3.small EC2 instances，並將該 policy 附加到專案帳戶中開發人員使用的角色和群組。這是因為 IAM policy 能夠精確控制帳戶內使用者和角色的權限，直接限制他們可以啟動的 EC2 實例類型和區域。其他選項：建立新的開發人員帳戶並遷移資源不切實際，且專案帳戶不允許加入組織；Service Control Policy (SCP) 適用於 AWS Organizations 內的帳戶，但此專案帳戶不允許加入組織；購買預留實例並不能限制開發人員啟動其他類型的實例，也無法強制執行區域限制。