ある企業のセキュリティチームは、開発者がLambda関数用のIAMロールを自分で作成できるよう権限を委任したいと考えています。しかし、開発者が自身に付与された権限を超えるロールを作成できないようにする必要があります。セキュリティチームはあらかじめ「MaxPermsBoundary」というマネージドポリシーを用意しています。開発者のIAMポリシーには `iam:CreateRole` と `iam:AttachRolePolicy` が含まれています。このセキュリティ要件を最も適切に実装する方法はどれですか？
IAMパーミッションバウンダリ（Permission Boundary）は、IAMエンティティに設定できる最大権限を定義する管理ポリシーです。開発者の `iam:CreateRole` ポリシーに条件として `"iam:PermissionsBoundary": "arn:aws:iam::123456789012:policy/MaxPermsBoundary"` を追加することで、バウンダリを設定しないロール作成を拒否できます。これにより開発者は自身の権限を超えるロールを作成できなくなり、権限昇格（Privilege Escalation）を防止できます。これはAWSが公式に推奨する「IAM権限委任パターン」の標準実装です。 選択肢BのSCPはアカウントレベルの制限に使用しますが、ロール作成時に特定のバウンダリポリシーの適用を強制する機能はありません。タグによる制限はパーミッションバウンダリの代替にはなりません。 選択肢CのAWS Configは事後検出・通知・修復に使用できますが、リアクティブな対応であり、バウンダリなしのロール作成を事前に防止できません。 選択肢DのService Catalogは有効なガバナンス手段ですが、開発者が直接 `iam:CreateRole` を呼び出すことを技術的に防止できないため、バウンダリ強制の代替にはなりません。