解説

AWS Organizations のサービスコントロールポリシー（SCP）は、組織・組織単位（OU）・メンバーアカウントに対して「許可できる最大権限の上限」を設定するポリシーです。SCPはメンバーアカウントのルートユーザーを含むすべてのIAMエンティティに適用されるため、各アカウントの管理者がSCPの制限を回避することはできません。「東京リージョン以外でのリソース作成をDeny」するSCPを組織ルートに適用すれば、配下のすべてのアカウントで即座に制限が有効になります。 選択肢AのIAMポリシーは個々のアカウント・ユーザー・ロールに適用されますが、組織レベルで強制管理する仕組みではなく、各アカウントの管理者が変更・削除できてしまいます。 選択肢BのAWS Configルールはコンプライアンス違反を検出・報告しますが、リソース作成を事前に「防止」する予防的コントロールではないため、強制的な制限には適しません。 選択肢DのIAM権限境界は単一アカウント内のIAMエンティティに対して最大権限を制限しますが、組織内の全アカウントを横断して一元管理する用途には使用できません。