グローバルな製薬会社がAWS Organizationsを使用し、研究開発（R&D）、製造、コーポレートITの3つの事業部門で合計80のAWSアカウントを管理しています。IT部門は新しいガバナンスポリシーとして以下を実装することを決定しました： ①R&D部門のアカウントでは機械学習ワークロードのためにP4dインスタンスなどのGPUインスタンスの使用を許可するが、他の部門では禁止する、 ②全アカウントで特定のAWSリージョン（us-east-1、eu-west-1、ap-northeast-1）以外でのリソース作成を禁止する（ただしRoute53、IAMなどグローバルサービスは除外）、 ③製造部門のアカウントではS3バケットのパブリックアクセスを完全に禁止し、誰もそのポリシーを変更できないようにする。これらすべてを実装する最適なSCP設計はどれですか？
SCPはDenyポリシーによる拒否が基本です。リージョン制限はaws:RequestedRegion条件でDenyし、グローバルサービス（IAM、Route53等）はNotActionで除外します。GPUインスタンスの禁止は他部門OUに対してDenyを適用することが正しく、R&D OUには適用しない設計が適切です。製造OUのS3パブリックアクセス禁止をSCPのDenyで実装することで、アカウント内の誰もポリシーを変更できない強制的な制御が可能です。 選択肢Aの Root OUでDenyした後にR&D OUでAllowしようとする設計は、SCPにはAllowの概念があるものの上位OUのDenyを下位OUのAllowで上書きすることはできないため、設計として誤りです。 選択肢Cは、ConfigルールとLambdaによる事後的な自動削除でリージョン制限を実装しようとしていますが、SCPの予防的制御より弱くリソース作成を瞬時に防止できません。 選択肢Dは、Config Conformance PacksとSystems Manager Automationによる検出・修復アプローチですが、事後対応であるためSCPの予防的制御より弱く、要件①② ③を同時に満たせません。