大企業がAWS Organizationsを使用してマルチアカウント環境を新規構築しています。セキュリティエンジニアは以下の2つの要件を満たすアーキテクチャを設計する必要があります： (1) メンバーアカウントの管理者がAWS ConfigおよびAWS CloudTrailを無効化できないようにすること (2) すべてのメンバーアカウントのセキュリティ調査結果を管理アカウントに集約して一元的に可視化すること 最小の運用負荷でこれらの要件を個別に満たす2つのアクションはどれですか？（2つ選択）
選択肢AのCloudFormation StackSetsは設定の強制デプロイには使えますが、IAMアクションを禁止する予防的コントロールではないため、メンバー管理者によるCloudTrailやConfigの無効化を防ぐことができません。運用負荷も高くなります。 選択肢B（SCP）はOrganizations内の全メンバーアカウントのIAMユーザー・ロールに適用される予防的コントロールです。cloudtrail:StopLoggingやconfig:DeleteConfigurationRecorderをDenyすることで、管理者によるサービスの無効化を確実に阻止でき、要件(1)を満たします。 選択肢C（Security Hub）はOrganizations統合を有効化するだけで、全メンバーアカウントのセキュリティ調査結果を管理アカウントへ自動集約できます。追加インフラ構築が不要で最小の運用負荷により要件(2)を満たします。 選択肢DのAmazon MacieはS3バケット内の機密データ（PII等）を自動検出するサービスであり、セキュリティ調査結果の一般的な集約・可視化には不適切です。