ある金融機関のクラウドセキュリティチームは、開発者によるAWSリソースの自由なプロビジョニングを制限し、以下の要件を実現したいと考えています。 ・開発者は暗号化有効・ログ有効・特定インスタンスタイプのみなど、事前承認済みの設定からのみリソースを作成できる ・開発者がCloudFormationテンプレートを直接作成・実行することを禁止する ・セキュリティポリシーに準拠したリソースのみをセルフサービスでプロビジョニング可能にする これらの要件を最も適切に満たすAWSソリューションはどれか？
AWS Service Catalogは、セキュリティチームが承認したCloudFormationテンプレートを「製品」としてポートフォリオに登録し、開発者にセルフサービスポータルから提供できます。起動制約（Launch Constraint）により専用IAMロール経由でプロビジョニングされるため、開発者のIAM権限を最小限に抑えつつ、テンプレートを直接操作させずに承認済み設定からのみリソースを作成させることができます。 選択肢AのPermission Boundaryは権限の最大値を制限しますが、承認済みの設定のみから選択させるセルフサービスカタログの仕組みがなく、テンプレート直接実行禁止の要件を包括的には満たせません。 選択肢CのCloudFormation Guardはポリシー検証ツールとして有効ですが、開発者がテンプレートを直接作成することを前提としており「テンプレート直接作成禁止」の要件を満たしません。 選択肢DのSCPはAPIコールレベルの制限で特定パラメータ値の強制には限界があり、セルフサービスカタログの機能はありません。