ある企業のセキュリティエンジニアが定期セキュリティ審査を実施したところ、「意図せず外部に公開されているAWSリソースが存在する可能性がある」という懸念が生じました。エンジニアには以下の要件があります。 ①IAMロール・S3バケット・KMSキー・Lambda関数・SQSキューのリソースベースポリシーを分析し、会社のAWSアカウント外部からアクセス可能なものをすべて特定する、 ②新たに外部アクセス可能な設定が追加された場合に継続的に検出する、 ③本番環境へのデプロイ前にIAMポリシーが意図した権限のみを付与しているか静的に検証する。これらをすべて満たす最適なAWSサービスはどれですか？
AWS IAM Access Analyzerを使用して、アカウントまたは組織を信頼ゾーンとするアナライザーを作成し、外部アクセス可能なリソースを継続的に特定・検証する。 AWS IAM Access Analyzerは、IAMロール・S3バケット・KMSキー・Lambda関数・SQSキュー・Secrets Managerシークレット等のリソースベースポリシーを継続的に分析し、定義した「信頼ゾーン」（アカウントまたはOrganization）外からアクセス可能なリソースを検出・レポートします。また「ポリシーバリデーション」機能により、デプロイ前のIAMポリシーの文法エラーや過剰権限を静的チェックできます。EventBridgeと連携して新規検出時の即時通知も実現できます。 選択肢A（Amazon Macie）はS3内の機密データ（PII・財務情報等）の自動検出・分類に特化したサービスです。IAMロール・KMSキー・Lambda・SQSのリソースベースポリシー分析やポリシーバリデーション機能は提供されません。 選択肢C（AWS Config）のマネージドルールは特定リソースの設定コンプライアンス評価に有効ですが、KMSキー・Lambda・SQSにわたるリソースベースポリシーの包括的な外部アクセス分析と、本番デプロイ前のポリシー静的検証機能は提供されません。 選択肢D（AWS Trusted Advisor）は一部のS3・IAM設定のベストプラクティスチェックを提供しますが、リソースベースポリシーの詳細分析・継続的モニタリング・ポリシーバリデーションの機能は持たず、対象リソースタイプの網羅性も不十分です。