大規模な金融企業が AWS Organizations 内の 50 以上のアカウントに PCI DSS および CIS AWS Foundations Benchmark のコンプライアンスコントロールを適用する必要があります。新規アカウントが追加された際にも自動的にコンプライアンスが適用され、各アカウントの準拠状況を一元的に確認できることが要件です。最もスケーラブルで管理負担が低いアプローチはどれですか？
正解： AWS Config 適合パック（Conformance Pack）を Organizations レベルで展開し、`Operational-Best-Practices-for-PCI-DSS` などのマネージドパックを使用する。Control Tower のカスタマイズ（CfCT）で新規アカウントへの自動適用を設定し、Config Aggregator で準拠状況を一元管理する。 AWS Config 適合パック（Conformance Pack）は Organizations レベルで単一の API 呼び出しにより全メンバーアカウントに一括展開でき、PCI DSS や CIS 向けのマネージドパック（`Operational-Best-Practices-for-PCI-DSS` など）が用意されているため実装工数を大幅に削減できます。Control Tower のカスタマイズ（CfCT）により新規アカウント作成時の自動適用が可能です。Config Aggregator で全アカウントの準拠状況を一元的に可視化できます。 選択肢Aは、StackSets + Account Factory は手動設定が多く管理負担が高くなります。 選択肢Cは、Security Hub はコンプライアンスの可視化・集約に優れていますが、Config ルール自体を各アカウントにデプロイして直接コントロールを適用するには Conformance Pack が適切です。 選択肢Dは、Landing Zone 個別デプロイ は旧来の非推奨アプローチであり、スケーラビリティが低く管理コストが高くなります。