ある多国籍小売企業のクラウドプラットフォームチームは、全社的なAWSアクセス管理を刷新しようとしています。 [現状] ・社員5,000名（15カ国）がオンプレミスの Microsoft Active Directory（AD）を認証基盤として使用 ・AWS Organizations 配下の120アカウントに対して、現在は各アカウントに IAM ユーザーが個別に作成されており、人事異動のたびに手動で修正が発生している [要件] ① 既存のオンプレミス AD のグループメンバーシップに基づいて動的に AWS アクセス権を制御する ② 開発者は担当する開発アカウントにはフルアクセス、対応する本番アカウントには読み取り専用アクセスを持つ ③ AD グループへの変更（昇格・剥奪）が1時間以内に AWS アクセス権に反映されること ④ コンプライアンス要件：全アクセスを AWS IAM ユーザー名ではなく AD 上のユーザー識別子（sAMAccountName：Active Directory が各ユーザーに付与する一意のログオン名）で監査ログに記録する ⑤ 運用オーバーヘッドを最小化する これらの要件をすべて満たす最も適切なソリューションはどれですか？
AD Connectorはオンプレミス ADのLDAPプロキシとして機能し、ユーザー・グループ情報をAWSにコピーせず認証を委任するため、ADグループ変更が次回認証時に即時反映されます。Permission Setのセッション継続時間を1時間に設定することで既存セッションのクレデンシャルが1時間以内に失効し要件③を満たします。IAM Identity Center経由のCloudTrailログにはsAMAccountNameが記録され要件④を充足します。 選択肢BのADFS直接統合は、120アカウントそれぞれへの個別SAML IdP設定が必要でスケールしません。 選択肢CのManaged AD + Forest Trustは、維持費用とフォレスト信頼の管理など追加コストと高い運用オーバーヘッドが発生します。 選択肢DのAmazon CognitoはBtoCアプリケーション向けのサービスであり、企業内IDガバナンスには適していません。