ある医療系SaaS企業がAWS Organizations管理下の3つのAWSアカウント（インフラ・アプリケーション・データ）にわたり、Windows/Linux混在の350台のEC2インスタンスを運用しています。 現在の課題： ①OSパッチ適用に4週間かかり適用率が65%にとどまる ②障害対応時にSSH/RDPで手動調査が必要で対応が属人的 ③各アカウントチームが個別のCloudWatchダッシュボードを管理し全体状況を把握できない ④変更管理がメール承認のため変更ウィンドウ外の作業が発生する 6ヶ月以内にFedRAMP Moderate（Federal Risk and Authorization Management Program：米国政府機関向けクラウドセキュリティ認定プログラム）準拠を達成するため、自動パッチ適用・監査証跡・運用可視性・変更管理の自動化をすべて実現する最も運用効率が高いソリューションはどれですか？
AWS Systems Managerはパッチ管理・運用可視化・ランブック自動化を統合したサービス群であり、FedRAMP Moderate準拠の要件を最小の運用オーバーヘッドで満たせます。 Patch Managerはアカウント別パッチベースラインとメンテナンスウィンドウにより、指定スケジュールでのパッチ自動適用とコンプライアンスレポートを提供します。Resource Data Syncを使用してパッチ状態を中央S3バケットに集約し、Systems Manager Explorerでクロスアカウントの統合ダッシュボードを実現できます。OpsCenterはCloudWatchアラームと自動連携してOpsItemを生成し、Automationドキュメントがランブックを自動実行することでMTTR（平均修復時間）を大幅に短縮します。すべての操作はCloudTrailに記録されFedRAMP監査証跡要件を満たします。 選択肢BのAWS ConfigとLambdaによるパッチ適用は機能的には実現可能ですが、Patch Managerが標準提供するメンテナンスウィンドウ・パッチベースライン・コンプライアンスレポートを自前実装する必要があり、運用コストと実装複雑度が高くなります。 選択肢CのAWS Inspectorは脆弱性スキャンに特化したサービスであり、パッチ適用スケジュール管理やコンプライアンスレポート生成の機能を持ちません。InspectorトリガーのSSM Run Commandではスケジュール制御・ベースライン・準拠レポートが不足し、Patch Managerの代替にはなりません。 選択肢DのAnsible TowerはEC2上に構築・管理するサードパーティ製品であり、AWS Systems Managerと比較して追加の運用コストが発生します。DynamoDBへの変更記録はCloudTrailとは別途実装が必要なため、FedRAMP監査証跡要件を効率的に満たせません。