ある企業のセキュリティチームは、AWS Organizations 全体のすべてのアカウントで S3 バケットがパブリックアクセスを許可している場合に自動修復したいと考えています。 集中的な可視性と構成変更後ほぼリアルタイムの修復が要件です。 最も適切なアーキテクチャはどれですか？
AWS Config マネージドルールはリソース変更後ほぼリアルタイムで評価を実行し、SSM Automation との統合により自動修復が可能です。`AWS-DisableS3BucketPublicReadWrite` は AWS 提供の標準 Automation ドキュメントで、カスタムコード不要で安全に修復できます。Config Aggregator により Organizations 全体の集中的な可視性が実現できます。 選択肢 B も Config マネージドルールと Config Aggregator を使用する点は同様で集中可視性の要件は満たしますが、修復アクションにカスタム Lambda 関数を使用しているため、コードの作成・テスト・IAM 権限管理が必要になります。AWS が提供するマネージドドキュメントを活用する選択肢 A と比べて保守負荷が高く最適ではありません。 選択肢 C は EventBridge で 5 分ごとにポーリングする方式のため、設定変更から修復までに最大 5 分の遅延が発生し、ほぼリアルタイムの修復という要件を満たしません。 選択肢 D はカスタム Lambda を StackSets でデプロイする方式で、S3 バケット作成イベントのみをトリガーとするため既存バケットの構成変更に対応できず、カスタム開発コストも高くなります。