ある企業のセキュリティチームは、EC2インスタンスのメタデータサービスを悪用したSSRF（Server-Side Request Forgery）攻撃によってIAMロールの一時的な認証情報が漏洩するリスクを特定しました。AWS Organizationsで管理する全AWSアカウントにおいて、新たに起動されるすべてのEC2インスタンスでIMDSv2（Instance Metadata Service v2）の使用を強制し、IMDSv1によるアクセスを組織全体で予防的に阻止する必要があります。最も効果的な方法はどれですか？
SCP（Service Control Policy）はAWS Organizationsの予防的ガードレール機能であり、管理アカウントから組織全体のメンバーアカウントに適用される最上位の制御です。ec2:RunInstances アクションに対して ec2:MetadataHttpTokens 条件キーを使用し、値が "required" でない場合にDenyするSCPを作成することで、IMDSv1が有効なインスタンスの起動を組織内すべてのアカウント・リージョンで完全に阻止します。SCPはメンバーアカウントの管理者でも上書きできないため、最も強力な予防的ガードレールとなります。 選択肢AのIAMポリシーによるアカウント個別設定は、各アカウントの管理者がポリシーを変更・削除できるため組織全体の一貫した強制には不十分であり、SCPのような上位からの強制力を持ちません。 選択肢CのAWS Config ルールは非準拠状態の検出と事後修正（発見的コントロール）には有効ですが、インスタンス起動を事前に防ぐ予防的ガードレールではなく、検出から修正までの時間差に脆弱性が存在します。 選択肢DのEC2アカウント属性のIMDSv2デフォルト設定は各リージョン・各アカウントで個別設定が必要であり、管理コストが高く、ec2:RunInstances 時に明示的に HttpTokens=optional を指定すれば上書きできるため組織全体での強制としては不十分です。