ある企業のセキュリティポリシーでは、本番環境の EC2 インスタンスに関連付けられたセキュリティグループで SSH（ポート22）が全インターネット（0.0.0.0/0 または ::/0）に開放されることを禁止しています。以下の要件を満たす自動修復フローを構築してください。 ・違反検知から5分以内に該当インバウンドルールを自動削除する ・修復操作を AWS CloudTrail で監査できる ・カスタムコードを極力書かずに最小の運用オーバーヘッドで実現する ・修復に失敗した場合はセキュリティチームに Amazon SNS で通知する 最も適切なアーキテクチャはどれですか？
AWS Config の自動修復アクション（Remediation Action）機能は、マネージドルールの違反検出時に Systems Manager Automation ドキュメントを直接実行します。「AWS-DisablePublicAccessForSecurityGroup」は SSH/RDP の全インターネット開放ルールを削除する AWS 提供のマネージドドキュメントであり、カスタムコード不要です。修復操作は CloudTrail に自動記録され、Automation ドキュメント内の SNS 通知ステップで失敗通知も実現できます。 選択肢B の Amazon EventBridge と Lambda は、技術的には機能しますが、カスタムコードの実装・管理が必要で「最小運用オーバーヘッド」の要件に反します。また要件は SNS 通知ですが SES になっている点も不適切です。 選択肢C の AWS Security Hub のカスタムアクションは、手動トリガーが基本であり、「5分以内の自動修復」要件を満たしません。 選択肢D の Amazon EventBridge のスケジュールルール（rate: 5 minutes）での定期スキャンは、リソース変更時にリアルタイム評価する Config と異なり、スキャン間隔に応じた遅延が生じるため「5分以内」の保証ができません。