解説

SCPはOrganizationsのOU（組織単位）やアカウントレベルで最大権限の上限を設定するポリシーです。特定リージョンへのアクションを拒否するSCPを作成することで、配下のすべてのアカウントに一元的に適用できます。 選択肢AのIAMポリシーは、各アカウントで個別管理が必要なため一元管理には不向きです。 選択肢CのCloudFormation StackSetsは、複数アカウントへのスタックデプロイを自動化するサービスであり、リソース作成自体を事前に防止する機能はありません。 選択肢DのAWS Configルールは、リソースのコンプライアンスをチェックしAuto Remediationで事後修復できますが、リソース作成そのものを予防することはできません。SCPは予防的コントロール、AWS Configは発見的コントロールである点が重要な違いです。