該組織為 VPC CIDR 和非雲端硬體委派了一個特定的 IP 地址範圍。您必須防止公司 IP 範圍之外的主體在組織的帳戶中執行 AWS 操作。哪種方法可以強制執行此要求？

正確答案是建立一個服務控制政策 (SCP)，拒絕源自公司 IP 範圍之外的請求，並將該 SCP 附加到組織根。這是因為 SCP 能夠在組織層級強制執行權限，拒絕來自指定 IP 範圍之外的所有 AWS 操作請求。將其附加到組織根，可確保此限制適用於所有帳戶。 選項「使用 AWS Firewall Manager 並部署 Amazon Network Firewall 政策」主要用於網路流量過濾，而非控制 AWS API 操作的權限。選項「為組織啟用 GuardDuty 並為公司 IP 範圍設定 GuardDuty 信任的 IP 列表」是安全監控服務，用於檢測異常行為，而非強制執行存取控制。選項「建立一個 SCP，只允許源自公司 IP 範圍的請求」在語法上可能導致預設拒絕所有未明確允許的請求，但「拒絕源自公司 IP 範圍之外的請求」更直接且明確地解決了問題，確保了預期的安全態勢。