解説

AWS Service Catalogは承認済みのCloudFormationテンプレートを「製品」として定義し、「ポートフォリオ」単位でチームや個人に配布できます。開発者はAWSリソースを直接作成するIAM権限がなくても、Service Catalog経由で承認済みの構成のみデプロイ可能になります。テンプレートのバージョン管理・更新の中央管理、チームごとの配布制御も実現でき、ガバナンスと開発者の生産性を両立します。 選択肢BのAWS CloudFormationテンプレートをS3に保存し、CloudFormation以外のリソース作成を禁止するSCPを適用する はCloudFormation使用を強制できますが、テンプレートの内容（暗号化設定など）を強制する仕組みを持たず、開発者は任意のテンプレートを使用できます。 選択肢CのAWS Systems Manager Parameter Storeに承認済み設定値を保存し、開発者がリソース作成時に参照できるようにする は設定値の参照先を提供するだけで、未承認設定でのリソース作成を禁止する強制力がありません。 選択肢DのIAMパーミッションバウンダリー（Permission Boundary）を使用して開発者が作成できるリソースタイプを制限する はIAMエンティティが委任できる最大権限の制限であり、特定のリソース設定値（暗号化有効など）を必須化する用途には使用できません。