ある製造企業は AWS Organizations 配下の 4 つのメンバーアカウントで合計 600 台の Amazon EC2 インスタンス（Amazon Linux 2 と Windows Server が混在）を運用しています。現在は運用チームが各アカウントに手動でログインし、シェルスクリプトで OS パッチを適用していますが、適用漏れや適用状況の可視化不足が監査で指摘されました。セキュリティポリシーにより EC2 への SSH/RDP の直接接続は禁止されており、すべてのインスタンスには SSM Agent が導入され、適切な IAM ロールが付与されています。経営層は、組織全体で OS パッチを定期的かつ自動で適用し、全アカウント横断でコンプライアンス状況を一元的にレポートすることを、できる限り運用負荷を増やさずに実現するよう求めています。この要件を最も満たす方法はどれですか。
Systems Manager Quick Setup の Patch Manager 構成は、AWS Organizations と統合し、管理アカウントから対象 OU/全アカウントへパッチベースライン、メンテナンスウィンドウ、スキャン/インストールのスケジュールを一括展開できる。 これにより各アカウントへの手動ログインが不要になり、定期的な自動パッチ適用を低運用負荷で実現できる。 さらに Resource Data Sync を用いると、複数アカウント・複数リージョンのパッチコンプライアンスデータを集約アカウントの S3 バケットに集約し、Athena 等で横断的にレポートできるため監査要件も満たせる。 SSM Agent と IAM ロールが既に整備されているため SSH/RDP 不要で運用できる。 選択肢Bの EventBridge と Lambda による自前実装は、パッチベースライン管理やコンプライアンス集約を自前構築する必要があり運用負荷が増大し、横断レポートも実現できない。 選択肢Cの Run Command によるアドホック実行は、定期スケジュールでの自動適用にならず、組織横断の集約レポート機能も持たないため適用漏れと可視化不足を解消できない。 選択肢Dの State Manager をアカウントごとに手動作成する方式は、自動適用自体は可能だが各アカウント個別運用となり一元レポートが得られず、運用負荷も削減できない。