ある大手金融サービス企業は、AWS Organizationsを使用して220のAWSアカウントを管理しています。組織のOU構造はRoot > Compliance OU > Production OU > Development OU > Sandbox OUです。以下のコンプライアンス要件をすべて満たす必要があります：（1）全アカウントでAWS CloudTrailを強制し、無効化・削除を禁止する、（2）許可AWSリージョンをap-northeast-1とus-east-1のみに制限する、（3）Production OUアカウントではS3バケットのパブリックアクセスブロックを必須化し、Amazon GuardDutyの無効化を禁止する、（4）Development OUアカウントではS3バケットのサーバーサイド暗号化（SSE）を強制する。さらに、セキュリティチームは組織内全220アカウントへの読み取り専用アクセスが必要ですが、各アカウントのローカル管理者がこのアクセス権限を変更・削除できないよう技術的に保護する必要があります。最小の運用オーバーヘッドでこれらすべての要件を実装する設計として最も適切なものはどれですか？
SCPは親OUから子OUへ継承されるため、全体共通のポリシーはRoot、環境固有の制限は各OUのSCPに設定することで重複なく効率的に管理できます。IAM Identity Centerは権限セットにより200以上のアカウントへのアクセスを一元管理でき、ローカル管理者が変更できない制御を実現します。 選択肢AのAWS Organizationsの全220アカウントにSCP（サービスコントロールポリシー）を個別に適用する方法は、N個アカウントへの個別SCP適用で運用コストが高いです。 選択肢CのAWS Resource Access Manager（RAM）を使用してIAMポリシーを組織全体で共有する方法は、RAMはIAMポリシー共有には使用できません。 選択肢DのすべてのセキュリティはRoot SCPにまとめて設定する方法は、Root SCP集中管理はOU単位の柔軟な制御を困難にします。