ある大手小売グループは AWS Organizations で 200 のメンバーアカウントを管理しています。PCI DSS（Payment Card Industry Data Security Standard：クレジットカード業界のセキュリティ基準）準拠のため、以下のセキュリティベースラインを全アカウントに展開する必要があります： [展開すべきベースラインリソース] ・VPC フローログの有効化（すべての VPC 対象） ・セキュリティ監査チーム用の読み取り専用 IAM ロール（ReadOnlyAccess ポリシー付き） ・専用 CloudTrail 証跡の設定 ・デフォルトセキュリティグループのインバウンド/アウトバウンドルールの全削除 [追加要件] ・本番 OU 配下のアカウントにのみベースラインが展開されること ・新しいアカウントが本番 OU に追加されたとき、または開発 OU から本番 OU に移動したときに 30 分以内に自動的にベースラインが展開されること ・ベースラインテンプレートの変更が 200 アカウント全体に同時伝播できること ・一部のアカウントでデプロイが失敗しても、残りのアカウントへの展開が継続されること これらの要件を最も効率的に満たすソリューションはどれですか？
CloudFormation StackSets のサービスマネージドアクセス許可と Organizations 統合により、本番 OU を対象に自動デプロイを有効化できます。アカウントが OU に追加・移動された際に自動的にスタックが展開され（30 分以内）、Failure Tolerance でロールアウト中の部分的な失敗を許容しつつ他アカウントへの展開を継続できます。テンプレート更新は全スタックインスタンスへ一括伝播可能です。 選択肢AのConfig 適合パックは検知・修復向きであり、VPCフローログ有効化やIAMロール作成といった命令的リソースのプロビジョニングには不向きです。 選択肢CのLambda による定期ポーリングは30分スケジュール実行のため、新規アカウント追加直後のデプロイに最大30分の遅延が生じる可能性があります。また200アカウントへのクロスアカウント接続実装・管理や、テンプレート更新時の手動トリガーが必要で運用オーバーヘッドが高くなります。 選択肢DのAWS Control Tower は既存 200 アカウントへの即時一括適用に追加作業が必要です。