Fabrikam Games 允許其 DevOps 群組為 EC2 工作負載建立 IAM 角色。安全團隊必須確保他們建立的任何角色都不能超出預定義的權限集（DynamoDB 表格 Scores 的唯讀權限和發佈到 CloudWatch Logs），無論 DevOps 稍後附加了什麼政策。哪種方法是**最有效**的？

正確答案透過強制 DevOps 群組在建立或更新 IAM 角色時必須包含特定的權限邊界，來最有效地限制其權限。這個權限邊界政策定義了這些角色能擁有的最大權限，即使後來附加了更寬鬆的政策，這些角色也無法超越邊界所設定的限制。 選項一不正確，因為將權限邊界附加到 DevOps 使用者會限制使用者本身的權限，而不是他們建立的角色所能擁有的權限。選項三不正確，因為 SCP 應用於帳戶或 OU，會影響所有主體，且無法精細控制特定角色所能擁有的最大權限。選項四不正確，因為資源政策只控制對特定資源的存取，無法限制 IAM 角色本身所能擁有的廣泛權限。