ある大規模なプロフェッショナルサービス企業は、15 の事業部門にわたる 200 以上の AWS アカウントをマルチアカウント戦略で管理しています。同社は企業の ID プロバイダー（IdP）として Microsoft Azure Active Directory（Azure AD / Microsoft Entra ID）を使用しており、オンプレミスの Active Directory インフラは保有していません（クラウドのみの構成）。以下の要件があります。 【ID・アクセス要件】 1. すべての AWS アクセスは企業 IdP 経由のフェデレーション認証とする。長期認証情報を持つ IAM ユーザーは一切作成しない。 2. 新入社員は Azure AD でのアカウント作成後 1 時間以内に、Azure AD グループメンバーシップに基づいた適切な AWS アクセス権を自動取得する。 3. 各事業部門のプラットフォームエンジニアは、自分たちのアカウント内でアプリケーション用 IAM ロールをセルフサービスで作成できる。ただし、組織が定義した最大権限ポリシーを超える権限を付与することは絶対に許可しない（権限昇格の防止）。 4. 中央セキュリティチーム（Security-Tooling アカウントで活動）は、脅威調査とコンプライアンス監査のために 200 以上の全アカウントへの読み取り専用アクセスが必要であり、すべてのアクセスに MFA（多要素認証）の強制が必要。 5. 権限セットは 200 以上のアカウントに対してアカウントごとの重複設定なくスケーラブルに管理できること。 ソリューションアーキテクトが推奨すべき 2 つのアクションはどれですか？
正解： AWS IAM Identity Center に Azure AD を外部 SAML 2.0 IdP として設定する。SCIM（System for Cross-domain Identity Management：異なるシステム間でユーザー ID 情報を自動同期するための標準規格）プロトコルによる自動プロビジョニングを Azure AD から IAM Identity Center に対して有効化し、Azure AD のグループ変更を数分以内に反映させる。IAM Identity Center で Permission Set（権限セット）を作成して Azure AD セキュリティグループにマッピングし、セキュリティチームの読み取り専用 Permission Set を Organizations ルートまたは全アカウントをカバーする OU レベルで割り当てることで、200 アカウント全体を個別設定なしにカバーする。, 各ワークロードアカウントに、アプリケーション IAM ロールに対して許可される最大権限を定義した IAM 権限境界（Permission Boundary）ポリシーを作成する。iam:CreateRole リクエストに承認済みの権限境界ポリシー ARN が含まれていることを iam:PermissionsBoundary 条件キーで検証する SCP を Workloads OU に適用し、権限境界なしのロール作成を組織レベルで禁止する。権限境界ポリシーと SCP はサービスマネージドアクセス許可を使用した CloudFormation StackSets でデプロイして一元管理する。 IAM Identity Center に Azure AD を SAML 2.0 外部 IdP として設定し、SCIM（System for Cross-domain Identity Management）による自動プロビジョニングを有効化することで、Azure AD グループ変更が数分以内に AWS 権限へ反映されます。OU レベルの Permission Set 割り当てにより 200 アカウントを個別設定なしにスケーラブルに管理でき、要件1・2・5を充足します。IAM 権限境界（Permission Boundary）ポリシーで最大権限を定義し、SCP の iam:PermissionsBoundary 条件でその適用を強制することで、セルフサービスのロール作成を許可しながら権限昇格を組織レベルで防止できます（要件3を充足）。CloudFormation StackSets による一元デプロイで管理負荷も最小化されます。 選択肢Bは、200 アカウントそれぞれに SAML IdP を個別設定する必要があり、スケールしません（要件5不適合）。Lambda による 1 時間ごとのポーリングは要件2の「1 時間以内」をギリギリ満たすか否かの設計であり、信頼性に欠けます。 選択肢Dは、iam:CreateRole を拒否すると事業部門エンジニアが IAM ロールをセルフサービスで作成できなくなるため、要件3を満たせません。 選択肢Eは、Active Directory Connector はオンプレミス Active Directory への認証プロキシサービスです。オンプレミス AD を保有しないクラウドのみの構成（Azure AD / Microsoft Entra ID）には使用できません。