ある大企業は AWS Organizations で 30 個の AWS アカウントを管理しており、オンプレミスの Microsoft Active Directory（AD）で 5,000 人以上のユーザーを管理しています。現在 AWS へのアクセスは各アカウントに作成した IAM ユーザーで管理されており、退職者のアクセス無効化漏れや MFA（多要素認証）の未徹底が問題になっています。以下の要件をすべて満たすソリューションを実装する必要があります：(1) 人間のユーザーは永続的な IAM ユーザー資格情報を持たない、(2) ユーザーはオンプレミス AD の認証情報（および MFA）を使用して複数の AWS アカウントにシングルサインオンできる、(3) AD のグループメンバーシップの変更が AWS アカウントのアクセス権限に即座に反映される、(4) 開発者 AD グループは開発アカウントのみ、運用 AD グループは全アカウントにアクセスできるが IAM・セキュリティサービスの設定変更は不可、(5) すべての AWS コンソール・CLI アクセスが CloudTrail で識別可能な形で記録される。最小運用オーバーヘッドでこれらの要件を満たすソリューションはどれですか？
IAM Identity Center は複数アカウントへの一元的なシングルサインオンを提供し、AD 接続でオンプレミス認証情報を活用できます。パーミッションセットの管理により各アカウントへの IAM ロール設定が自動化されます。AD グループへの割り当て変更はアクセス権限にリアルタイムで反映されます。MFA を Identity Center レベルで一元強制でき、Identity Center 経由のアクセスは CloudTrail に識別可能なセッション情報として記録されます。 選択肢AはAD Connector を各アカウントに個別設定し、アカウントごとに SAML フェデレーションと IAM ロールを個別設定する必要があり運用負荷が高く、要件達成が困難です。 選択肢CはADFS の追加デプロイが必要で運用オーバーヘッドが大きく、各 AWS アカウントへの個別 SAML 設定・IAM ロール作成が必要となるため最小運用オーバーヘッドの要件を満たせません。 選択肢DのCognito はWebアプリケーション向けのユーザー認証基盤であり、複数 AWS アカウント間でのフェデレーテッドアクセス管理には設計されていません。