組織内のすべてのメンバーアカウントに対し、承認済みの2つのリージョン以外でのリソース作成を、管理者権限を持つユーザーであっても予防的に禁止したい場合に使う仕組みはどれですか

正解の理由：SCP は組織のルートやOUに適用され、そのアカウント内のすべてのプリンシパルが使える権限の上限を決めます。aws:RequestedRegion 条件で承認リージョン以外を拒否すれば、アカウントのAdministratorAccessを持つ利用者でも作成できなくなります。Config ルールは作成後に検出する発見的統制で、予防はできません。アクセス許可境界は個々のロールやユーザーに付ける仕組みで、付け忘れると効きません。Access Analyzer は外部からアクセス可能なリソースの洗い出しが目的です。