ある金融機関のCISOは最小権限の原則を徹底するため、「過去90日間に一度も使用されていないIAM権限・ロール・アクセスキーを組織的に特定し、削除または縮小する」プロセスを確立しようとしています。AWSアカウントには300以上のIAMロールと100人以上のIAMユーザーが存在します。このユースケースに最も適切なAWSサービスと設定はどれですか？
IAM Access Analyzerの「未使用アクセス（Unused access）アナライザー」は、CloudTrailのデータに基づきIAMエンティティの実際の使用状況を分析し、以下の4種類のファインディングを生成します。 ①未使用のIAMロール（最終使用日から指定期間経過） ②未使用のIAMアクセスキー ③未使用のIAMユーザーパスワード ④未使用のアクセス権限（ポリシーに含まれるが一度も呼ばれていないアクション） さらに、ファインディングに基づいて「実際に使用されたアクションのみを含む最小権限ポリシー」を自動生成する機能も備えています。300以上のロールを効率的に分析するにはこのマネージドサービスが最適です。 選択肢Bの外部アクセスアナライザーは、S3・KMS・SQSなどのリソースが組織外部から到達可能かどうかを検出するもので、IAM権限の使用状況分析には対応していない。 選択肢CのCloudTrail+Athenaのアプローチは技術的には可能だが、300以上のIAMエンティティに対して定期的に手動で行うのは非効率であり、AWSが推奨するアプローチではない。 選択肢Dのiam-user-unused-credentials-checkはアクセスキーやパスワードの未使用日数を検出するConfig Ruleであり、ポリシー内の未使用アクションを検出したりポリシーを自動削除したりする機能はない。