金融機関の組織では、本番のデータはすべて CMEK で暗号化するという規程があります。ところが棚卸しで、CMEK を使わずに作られたリソースが本番に混ざっていることが分かりました。既存のリソースは個別に対応するとして、今後はそうしたリソースを作れないようにする必要があります。本番のプロジェクトは数十あり、開発チームがそれぞれリソースを作成しています。どの制約を使えばよいですか。