AWS Organizationsの組織単位（OU）構造を設計しています。「Sandbox」OUには開発者が自由に実験できるアカウントを配置しますが、高額なリソース（例：大型EC2インスタンス、Redshift）の起動は防ぎたいと考えています。これを実現する最適な方法はどれですか。

ECS on Fargateで、コンテナが秘密情報（DBパスワードなど）を環境変数として受け取る必要があります。しかし、AWSコンソールやAPIの `DescribeTaskDefinition` で環境変数が平文で見えてしまうのを防ぎたいです。どの方法を採用すべきですか。