解説

AWS Control TowerはAWS Organizationsをベースに、マルチアカウントのランディングゾーンを自動構築するサービスです。Account Factoryを使うと標準ベースライン付きの新規アカウントを迅速にプロビジョニングでき、必須ガードレール（Mandatory Guardrails）によってCloudTrailとGuardDutyが全管理アカウントに自動適用されます（要件①②を満たす）。 AWS OrganizationsのSCPは、アカウントやOUに対してアクションを予防的にブロックするポリシーです。開発者OUに対してパブリックACLを禁止する条件付きSCPを設定することで、管理者に関係なく予防的にパブリックS3バケットの作成をブロックできます（要件③を満たす）。 選択肢BのCloudFormation StackSetsは新規アカウントへのデプロイ自動化に使えますが、Control Towerのような統合されたガードレール・Account Factory機能がなく、手動トリガーが残るため運用負荷が高くなります。 選択肢DのAWS Config + Lambda自動修復は事後検知・修復の仕組みであり、修復が完了するまでの間パブリックバケットが一時的に存在する状態が生じます。SCPによる予防的なブロックと比べてセキュリティ上のリスクがあります。