ある企業のセキュリティチームは、AWS アカウント内の Amazon S3 バケット・IAM ロール・AWS KMS キーなどのリソースが、意図せず外部の AWS アカウントやインターネットからアクセス可能になっていないかを継続的に検出したいと考えています。リソースベースのポリシーを自動分析し、外部プリンシパル（自アカウント・組織外のエンティティ）へのアクセス許可を特定するために最も適切な AWS サービスはどれですか？
AWS IAM Access Analyzer は、S3 バケット・IAM ロール・KMS キー・Lambda 関数・SQS キューなどのリソースベースポリシーを数学的証明（SMT ソルバー）で分析し、組織または AWS アカウントの外部からアクセス可能になっているリソースを自動的に検出してアラートを生成します。意図しない公開アクセスや過剰な権限付与の発見に特化しています。 選択肢Bは誤りです。Amazon GuardDuty は VPC フローログや CloudTrail などを分析して不審な動作・脅威を検出するサービスであり、リソースポリシーの静的分析は行いません。 選択肢Cは誤りです。AWS Config はリソースの設定変更を記録・評価するサービスで、ルールに基づくコンプライアンス確認はできますが、ポリシー内の外部プリンシパルを論理的に特定する機能はありません。 選択肢Dは誤りです。Amazon Inspector は EC2 インスタンスやコンテナイメージのソフトウェア脆弱性をスキャンするサービスであり、IAM やリソースポリシーの分析は対象外です。