ある大手小売業者が AWS Organizations を使用して 60 以上のアカウントを管理している。コンプライアンス要件として、全アカウントのすべての EC2 インスタンス・RDS インスタンス・EFS ファイルシステムに対して毎日バックアップを取得し、最低 90 日間保持することが義務付けられている。また、メンバーアカウントの管理者がこのバックアップ設定を無効化・削除できないようにする必要がある。最も運用効率の高いアプローチはどれか。
選択肢AのAWS Organizations のバックアップポリシー（Backup Policies）は Organizations のポリシータイプの一つで、AWS Backup のバックアッププラン（スケジュール・保持期間・対象リソースタグなど）を管理アカウントから OU またはアカウント単位に一括適用できる機能である。 継承モデルで動作し、上位 OU に設定したポリシーは下位のすべてのアカウントに自動適用される。メンバーアカウントの管理者は継承されたポリシーを上書き・削除できないため、コンプライアンス要件の強制に最も適したアプローチである。 選択肢Bの手動 AWS Backup プラン作成と SCP の組み合わせは、60 以上のアカウントに対して個別の設定作業が必要であり運用効率が低い。SCP で削除を拒否することは可能だが、初期デプロイ工数が大きく、バックアップポリシーが同等機能をより少ない工数で提供する。 選択肢CのAWS Config マネージドルールと Lambda による自動修復は事後検出・修復型の制御であり、バックアップ設定が存在しない状態が一時的に発生するリスクがある。Lambda コードの維持管理コストも発生するため、予防的制御が求められる要件には最適でない。 選択肢DのAWS CloudFormation StackSets はバックアッププランをデプロイできるが、メンバーアカウントの管理者が AWS Backup のコンソールや API を直接使用してスタック外でプランを変更・削除することを技術的に防げず、要件の「変更・削除禁止」を保証できない。