ある大手グローバル企業は、AWS Organizationsを使用して250のAWSアカウントを管理しています。セキュリティチームは専用の「SecurityOps」アカウントを持ちます。以下の要件を実装する必要があります： ①すべてのアカウント・すべてのリージョンのALB/CloudFrontに対して共通のAWS WAFウェブACLを適用する ②EC2インスタンスのセキュリティグループを一元的に管理し、非準拠ルール（例：0.0.0.0/0からのSSH許可）を自動修復する ③AWS Shield Advancedを組織全体で有効化し、DDoS保護を集中管理する ④Organizationsに新規追加されたアカウントには自動的にこれらのポリシーが適用される ⑤管理アカウントではなくSecurityOpsアカウントのチームがポリシーを管理する この要件を最も効率的かつ最小の運用負荷で実装するアーキテクチャはどれですか？
AWS Firewall Managerは、AWS WAF・セキュリティグループ・Shield AdvancedをOrganizations全体で一元管理するために設計されたサービスです。管理アカウントからメンバーアカウント（SecurityOps）を委任管理者に指定することで、SecurityOpsチームが管理アカウントを使わずに組織全体のセキュリティポリシーを管理できます。Firewall ManagerはOrganizations統合により「新規アカウントへの自動ポリシー適用」と「非準拠リソースの自動修復（Auto Remediation）」を組み込み機能として提供します。 選択肢Bの Lambda＋クロスアカウントIAMロールによる独自実装は、開発・運用コストが高く、Firewall Managerの組み込み機能と比較してスケーラビリティが低い。新規アカウントの検出も別途実装が必要です。 選択肢Cの SCPはAPI呼び出しの拒否はできますがWAFルールの積極的な展開はできません。StackSetsは有効ですが、新規アカウントへの自動適用や非準拠リソースの自動修復はFirewall Managerほど統合されていません。 選択肢Dの Control Towerのカスタムコントロールは、コンプライアンスのモニタリングが主目的であり、WAFルールの積極的な展開には対応していません。