MediaFlux 有一個 Control Tower 的登陸區域。安全團隊必須防止在 us-east-1 和 us-west-2 以外的區域建立資源，並且必須阻止所有註冊帳戶中 S3 儲存貯體的任何公開讀取存取。他們應該啟用哪些防護措施？（請選擇兩項。）

正確答案是啟用 Control Tower 預防性防護措施，以禁止在未經批准的區域中執行動作，以及啟用 Control Tower 預防性防護措施，以禁止對 S3 儲存貯體進行公開讀取存取。預防性防護措施使用服務控制策略 (SCP) 來強制執行組織層級的限制，從而主動阻止不合規的行為。這符合題目的要求，即「防止」在未經批准的區域建立資源，以及「阻止」S3 儲存貯體的任何公開讀取存取。偵測性防護措施只會偵測違規行為並發出警報，而不會阻止它們，因此不符合「防止」和「阻止」的要求。在每個帳戶中設定 S3 Block Public Access 雖然有效，但 Control Tower 預防性防護措施能以更集中、自動化的方式在所有註冊帳戶中實施此策略，且題目明確指出「這是防護措施」，暗示應使用 Control Tower 的內建功能。