解説

「Shift Left（シフトレフト：セキュリティ検証をできるだけ開発の早期段階へ移動させる考え方）」の原則に従い、セキュリティチェックはデプロイ前のビルドステージで行うべきです。cfn-lintはテンプレートの構文・ベストプラクティス検証、cloudformation-guard（cfn-guard）はカスタムポリシールールに基づくコンプライアンス検証に使用できます。両ツールをCodeBuildで実行してexit code≠0でビルド失敗にすることで、デプロイ前に問題を早期検出・ブロックできます。 選択肢AのAWS Configによる評価はリソースのデプロイ後に実行されるためシフトレフトの原則に反し、コンプライアンス違反の事前ブロックができません。 選択肢CのCloudFormationのスタックポリシーはデプロイ時の意図しない変更からリソースを保護するものであり、テンプレートの静的コンプライアンス検証やパイプラインでの早期ブロックには対応していません。 選択肢DのSecurity Hubはランタイムのセキュリティ状態を集約管理するサービスであり、パイプライン内でのCloudFormationテンプレートの事前静的スキャンには使用できません。