AWS Organizationsを使用した100アカウントの環境で、すべてのEC2インスタンスにSSM Agentが動作していることを保証し、未インストールのインスタンスを自動修復したい。またインターネットに直接露出したセキュリティグループルール（0.0.0.0/0のインバウンド）を自動的に削除したい。この2つの要件を最小の運用コストで実現するには？
AWS Config Rules + Automation Remediationの組み合わせはコンプライアンス自動修復の標準パターン。EC2_INSTANCE_MANAGED_BY_SSMルールでSSMAgent未管理インスタンスを検知、0.0.0.0/0の全インバウンドルール検出にはINCOMING_SSH_DISABLED（SSH port 22専用）ではなくvpc-sg-open-only-to-authorized-portsまたはカスタムConfigルールを使用し、それぞれAutomation Runbookで修復。StackSetsで全Organizationsアカウントに一括デプロイすることで運用コストを最小化できます。 選択肢B の AWS Security Hub はセキュリティ調査結果の集約・可視化が主目的であり、SSM Agentのインストールやセキュリティグループルール削除をネイティブに自動修復する機能は提供していません。 選択肢C の Systems Manager Quick Setup はSSM Agentの全アカウント展開を簡略化できますが、セキュリティグループの自動修復には対応しておらず、2つの要件を両立できません。 選択肢D の Lambda による定期スキャンはカスタム開発が必要で運用コストが高く、Config Rulesと比べて検出から修復までのタイムラグも大きいため「最小の運用コスト」の要件を満たしません。