ある企業がAWS Organizationsを使用して複数のAWSアカウントを管理しています。セキュリティチームは、SSRF（サーバーサイドリクエストフォージェリ：Webアプリの脆弱性を悪用してサーバーを踏み台に内部リソースへ不正アクセスする攻撃手法）脆弱性を利用したEC2インスタンスメタデータへの不正アクセスを防止するため、組織全体で新規起動するEC2インスタンスにIMDSv2（Instance Metadata Service Version 2）の使用を強制したいと考えています。 以下の要件があります。 ・新規インスタンス起動時にIMDSv1（トークン不要のアクセス）を使用できないようにする ・各アカウントの管理者権限を持つIAMユーザーでも回避できない強制力を持つ ・設定を組織全体へ一元的に適用する この要件を最も効果的に満たすアーキテクチャはどれですか？
SCPはAWS Organizationsの予防的ガードレールとして機能し、メンバーアカウントの管理者権限（AdministratorAccess）を持つIAMユーザーでも回避できない強制力を持ちます。`ec2:RunInstances`に対して条件`ec2:MetadataHttpTokens`が`required`でない場合にDenyを設定することで、IMDSv1のみを使用するインスタンスの起動を組織全体で事前に阻止（予防的コントロール）できます。 選択肢AのSecurity Hub＋Systems Manager Automationは既存インスタンスへの事後修正（検出的コントロール）であり、新規起動を事前に阻止する効果はありません。 選択肢CのAWS Config Rulesも検出・修正（検出的コントロール）です。評価サイクルの間隔内に起動されたIMDSv1インスタンスが一時的に存在し続けるリスクがあります。 選択肢DのPermission Boundaryは最大許容権限の境界を定義するものですが、SCPのようにアカウント管理者権限を無効化する強制力はなく、RunInstances自体を事前ブロックする機能でもありません。