某組織使用 AWS Organizations 來管理多個帳戶。安全政策要求將任何未加密的 Amazon EBS 磁碟區標記為不合規。DevOps 工程師必須部署一個自動化、始終存在的合規性檢查。哪種方法可以實現此目的？

正確答案是建立一個 AWS Config 組織規則來檢查 EBS 加密是否已啟用，並使用 AWS CLI 部署該規則，並建立並應用一個 SCP 以禁止在整個組織中停止和刪除 AWS Config。AWS Config 組織規則專為跨多個帳戶自動評估合規性而設計，非常適合此情境。SCP 確保 Config 服務不會被停用，從而維護持續的合規性檢查。 建立 AWS CloudFormation 範本並使用 AWS Inspector 規則不適用，因為 Inspector 主要用於安全評估，而不是持續的資源配置合規性檢查。 在 Organizations 中建立 SCP 以防止啟動未加密的 EBS 磁碟區是預防性控制，但它無法檢查現有資源的合規性，也無法標記不合規的資源。 從受信任的帳戶部署 IAM 角色並使用 AWS CodePipeline 建立 Lambda 函數來列出 EBS 磁碟區是一種手動方法，需要自訂程式碼和維護，不如 AWS Config 組織規則自動化和整合。