解説

AWS Firewall ManagerはAWS Organizationsと統合してマルチアカウント環境のセキュリティポリシーを一元管理するサービスである。セキュリティグループポリシーの「コンテンツ監査」タイプを使用すると、不正なルール（例：0.0.0.0/0からのポート22/3389を許可）を持つセキュリティグループを自動検出し、違反ルールを自動削除できる。管理アカウントからのFirewall Manager設定のみで全メンバーアカウントをカバーでき、新規アカウントがOrganizationsに追加されると自動的にポリシーが適用される。これにより① ② ③の全要件を最小限の設定で実現できる。 選択肢AのAWS Configルールは有効だが、ConfigルールとSystems Manager修復アクションをStackSetsを使ってアカウントごとにデプロイ・管理する手間があり、Firewall Managerの一元管理と比べると運用オーバーヘッドが高い。 選択肢BのCloudFormation StackSetsとLambdaによるカスタム実装は技術的に可能だが、Lambda関数・EventBridgeルールの設計・テスト・保守コストが発生しFirewall Managerの既成機能を代替するため運用コストが最も高い。 選択肢CのSCPはec2:AuthorizeSecurityGroupIngressを制限することで新規の違反ルール作成を防げるが、SCP適用以前から存在する既存の違反ルールを自動削除・修正する機能を持たないため、要件②（既存リソースの自動修正）を満たせない。