セキュリティインシデント発生後、フォレンジック（forensics：デジタル証拠の収集・分析）チームが AWS Organizations で管理された 45 のメンバーアカウント全体における API アクティビティを調査する必要があります。具体的には「過去 30 日間に、いずれかのアカウントで IAM ロールを作成または変更した IAM プリンシパルと、その際に設定された信頼ポリシーの内容」を SQL で照会したいと考えています。チームはスキーマ定義や専用インフラの構築なしに数分以内で結果を取得し、複数のアドホック（ad hoc：即興的・非定型）クエリを繰り返し実行したいと考えています。最も運用効率の高いソリューションはどれですか？
CloudTrail Lake は Organizations との統合により、全メンバーアカウントのイベントをマネージドなデータストアに自動収集します。ANSI SQL に準拠したクエリを直接実行でき、S3 バケット構成・Glue クローラー・Athena テーブル定義が一切不要です。EventData フィールドを JSON パスで展開する構文で IAM ロールの信頼ポリシー内容まで照会可能で、クエリ結果は数秒〜数分で返却されます。 選択肢AのS3 集約 + Glue + Athena は、機能しますが、クローラー設定・パーティション戦略の設計・スキーマ定義に多大な準備時間がかかり、「専用インフラ構築なし」という要件に反します。 選択肢CのCloudWatch Logs Insights は、ANSI SQL の複雑なクエリ（JSON フィールド展開・集計・結合など）をサポートしておらず、各アカウントで CloudTrail → CloudWatch Logs への転送設定も前提条件となります。 選択肢DのAWS Config の高度なクエリは、リソースの現在の設定状態のみを照会するため、過去 30 日間の API 活動履歴（誰がいつ変更したか）を取得することはできません。