IAM クロスアカウントロールによる個別設定は、顧客数増加で管理が煩雑になりスケーラブルではありません。
C
AWS IAM Identity Centerで権限セット（Permission Set）を作成し、SaaS運営チーム用にはCloudWatchReadOnly+SSMFullAccess+S3Deny+GlueDenyのカスタム権限セットを作成する。顧客アカウントへの割り当てはOrganizationsの組織全体に対して行い、個別顧客アカウントの割り当ては自動化する。
IAM Identity Center の組織全体割り当て設計では個別顧客アカウントへのアクセス制限の粒度が曖昧になります。
D
AWS Organizations の管理アカウント（旧マスターアカウント）でCost and Usage Report (CUR) を設定し、S3バケットを各顧客アカウントに個別に分割してAthenaで提供する。あるいはAWS Cost Explorer のShared Costレポートを顧客ごとに設定してIAM Identity Center経由で各顧客のコスト担当者にアクセスを提供する。
AWS Cost and Usage Report（CUR）の S3 バケット分割は設定が複雑で、アカウント分離済みの環境では Cost Explorer が適切です。
AWS Cost Explorer を各顧客アカウントで有効化し IAM Identity Center 経由で権限を付与することで、顧客は自身のコストのみを参照でき要件③を満たします。
解説
AWS Lake Formation と IAM Identity Center の組み合わせにより、顧客データエンジニアは自社データのみにアクセスできます（要件①）。各顧客アカウントの AWS Cost Explorer を IAM Identity Center 経由で提供することで、顧客は自身のコストのみを参照できます（要件③）。
選択肢B の IAM クロスアカウントロールによる個別管理は顧客数増加で煩雑になりスケーラブルではありません。
選択肢C の IAM Identity Center 組織全体割り当て設計では個別アカウントへのアクセス制限が曖昧になります。
選択肢D の CUR の S3 バケット分割設定は複雑で、アカウント単位で分離済みの環境では Cost Explorer が適切です。