ある企業のデータガバナンスチームは、AWS 環境全体の Amazon S3 バケットが常にセキュリティポリシーに準拠しているか継続的に監視したいと考えています。「すべての S3 バケットのパブリックアクセスがブロックされていること」「サーバーサイド暗号化が有効であること」の 2 つのポリシーを対象に、新規作成・既存バケットの設定変更を問わずリアルタイムに評価し、違反バケットをデータチームへ自動通知するシステムを構築する必要があります。最も適切なアプローチはどれですか？
AWS Config は、AWS リソースの設定を継続的に記録・評価する目的特化型のサービスです。マネージドルール（s3-bucket-public-read-prohibited、s3-bucket-server-side-encryption-enabled など）を有効化すると、S3 バケットが作成・変更されるたびに自動的に準拠状態を評価します。非準拠を検出した場合、Amazon SNS トピックへの通知や AWS Systems Manager Automation による自動修復も設定可能です。既存バケットも定期的に再評価されるため、「継続的監視」の要件を完全に満たします。 選択肢AのAmazon CloudTrail + AWS Lambda による「定期的なログ解析」では変更検知に遅延が生じます。また、イベントが発生しない既存バケットの設定変化を継続的に評価する仕組みが別途必要です。 選択肢CのAmazon EventBridge + AWS Lambda はバケット作成時の評価には有効ですが、作成後の設定変更イベントをすべてキャプチャして継続的に評価するには追加の実装コストが高くなります。 選択肢DのAWS Security Hub は複数 AWS セキュリティサービスの結果を集約・可視化するサービスです。Security Hub の S3 コントロール評価は内部的に AWS Config ルールに依存しているため、Config ルールが有効でなければ機能しません。