ある企業では、数百名の開発者が共有AWSアカウントでEC2インスタンスを日常的に作成・管理しています。セキュリティ要件として「各開発者は自分が作成したEC2インスタンスのみを停止・再起動できる（他の開発者のインスタンスは操作不可）」を実装する必要があります。IAMポリシーの管理オーバーヘッドを最小限にする最も効率的な方法はどれですか？
ABAC（Attribute-Based Access Control：属性ベースのアクセス制御）は、IAMプリンシパル（ユーザー/ロール）のタグとリソースのタグを条件で照合してアクセスを制御します。aws:PrincipalTag/Ownerで要求者のIAMユーザーに付いたOwnerタグの値を参照し、aws:ResourceTag/Ownerで対象EC2インスタンスのOwnerタグと一致する場合のみ操作を許可するポリシー1つで数百名分のアクセス制御を実現できます。新しいEC2インスタンスが追加されてもポリシーの変更は不要で、高いスケーラビリティを持ちます。 選択肢Aは、インスタンスが作成・削除されるたびにポリシーを更新しなければならず、数百名の環境ではスケールしません。 選択肢Cは、IAMロールの信頼ポリシーは「誰がそのロールを引き受けられるか」を定義するものであり、特定のEC2インスタンスへのアクセス権限制御には使用できません。 選択肢Dは、SCPは組織全体のアカウントレベルで許可範囲を設定するものであり、個別開発者とEC2インスタンスの所有関係という粒度の制御には使用できません。