企業は30以上のAWSアカウントと複数リージョンにわたるシステムを運用しています。セキュリティチームはすべてのアカウントでS3パブリックアクセスブロック設定やIMDSv2強制などのセキュリティベースラインを継続的に適用・監視し、非準拠のリソースを自動修復したいと考えています。最も適切な実装の組み合わせを2つ選んでください。
CloudFormation StackSetsをAWS Organizations連携で使用し、セキュリティベースラインリソース（S3バケットポリシー、EC2インスタンスメタデータ設定等）を定義したスタックを全対象アカウント・リージョンに自動デプロイする、および管理アカウントでAWS ConfigアグリゲーターとOrganizations連携を設定し、S3PublicAccessBlockやec2-imdsv2-checkなどのManaged ConfigルールとAuto Remediationを全アカウントに展開する。 StackSetsはOrganizations連携により新規アカウント追加時も自動でセキュリティベースラインスタックをデプロイし、設定を強制適用できます。AWS Configアグリゲーターは複数アカウント・リージョンのコンプライアンス状態を継続的に評価し、Auto Remediationでの自動修復も可能です。この組み合わせがデプロイと継続的監視・修復の両面を網羅します。 選択肢BのCodePipeline+CodeBuildによる検証はデプロイのたびにしか実行されず、既存の非準拠リソースの継続的監視・自動修復には対応できません。 選択肢DのSecurity Hubは複数アカウントのセキュリティ検出結果を集約・可視化しますが、自動修復機能はありません。 選択肢EのSCPは新規API呼び出しを予防的に拒否できますが、すでに存在する非準拠リソースの修復はできません。