ある金融機関では3年間にわたって手動構成してきたAWS Organizations環境（管理アカウント・ログアーカイブアカウント・セキュリティツールアカウントを含む計60アカウント・4つのOU）をAWS Control Towerへ移行します。現在の状況は以下の通りです。（1）既存ログアーカイブアカウントにはカスタムS3バケットポリシーとAWS KMSキーによる暗号化・保持設定が構成済み。（2）PCI-DSS Level 1に対応したカスタムAWS Configルールが各アカウントで稼働中。（3）IAM Identity CenterはOktaを外部IdP（Identity Provider：認証プロバイダー）として200以上のパーミッションセットが設定済み。（4）新規ビジネスユニット向けに毎月10〜15アカウントを迅速にプロビジョニングする必要があり、各アカウントには標準化VPCアーキテクチャ（10.x.0.0/16の特定サブネット設計）とAWS Security Hub標準の事前有効化が必要。既存環境への影響を最小化しながらこれら全要件を達成するために実施すべき施策を2つ選んでください。
選択肢AはControl TowerのBring Your Own Accounts機能で既存ログアーカイブアカウントとOkta連携済みIAM Identity Centerを保護しながら移行できます。 選択肢BはパーミッションセットとConfigルールの全削除・再作成が必要で大規模混乱を招きます。 選択肢CのAFTはVPC・Security Hub・PCI-DSS ConfigルールをIaC（Infrastructure as Code：コードによるインフラ定義管理）でCI/CDパイプライン管理し月次大量アカウント作成を自動化します。 選択肢DはDetective（Config）とPreventive（SCP）は目的・動作が異なり置き換えはできません。 選択肢EのRegister OUは有効な手段ですが標準化VPCや月次プロビジョニング自動化にはAFT（C）が必要です。