ある会社では、開発者が EC2 や Lambda に IAM role を付けてデプロイしている。セキュリティ企画室は、開発者が管理者の権限を持つ role を自分のリソースに付けて、間接的に権限を広げることを防ぐ必要がある。開発者のデプロイの作業そのものは止めたくない。iam:PassRole への対策として最も適切なものはどれか。