グローバルな金融サービス企業が、規制要件に基づいてAWSアカウントの完全な監査証跡と変更管理プロセスを実装しようとしています。要件として、①すべてのAWSリソースの設定変更を記録し、変更前後の状態を比較できる、 ②承認されていない変更が発生した場合は自動的に以前の状態に戻す（特定のクリティカルリソース：IAMポリシー、セキュリティグループ、KMSキーポリシー）、 ③変更管理の承認プロセス（ITSM：IT Service Management連携）を経ずに行われたインフラ変更を検出する、 ④コンプライアンスレポートを月次で自動生成してS3に保存する。これらすべてを実装する最も包括的なソリューションはどれですか？
AWS ConfigはAWSリソースの設定履歴を継続的に記録し、変更前後のスナップショットを保持するサービスです。Config Rulesの自動修復（Remediation Action）でSSM Automationを使用したロールバックが可能です。CloudTrailは誰がいつAPIを呼び出したかを記録するため、ITSM（IT Service Management）のChange Order IDと照合するLambda関数を使用することで、承認プロセスを経ずに行われた変更を特定できます。Config AggregatorはOrganizations全体のコンプライアンス状況を集約しS3に定期出力する機能を持ち、月次レポート要件を満たします。これら4つの機能の組み合わせにより全要件を網羅します。 選択肢Aの Athenaクエリによるレポート生成がConfig Aggregatorの直接出力より複雑であり不要な手順を増やします。 選択肢Bの Service Catalogが既存インフラへの直接変更を検出できず、CloudFormation Drift DetectionはすべてのAWSリソースをカバーしないため包括性に欠けます。 選択肢Dの CloudTrail Lakeは設定状態のスナップショット比較ができず要件①を満たしません。