ある大企業はAWS Organizationsで40のAWSアカウントを管理しています。セキュリティチームは、すべてのアカウントの本番環境のApplication Load Balancer（ALB）に対して、OWASPトップ10対策のマネージドルールとカスタムレートベースルールを含む統一WAFポリシーを強制適用したいと考えています。また、将来的に新規アカウントが追加された際も、自動的に同じポリシーが適用される仕組みが必要です。最も効率的なアプローチはどれですか？
正解： AWS Firewall Manager を使用し、管理者アカウントからOrganizations全体またはOU（組織単位）を対象にWAFポリシーを作成・適用する。新規アカウントは組織参加時に自動的にポリシーが適用される。 AWS Firewall Manager は、Organizations全体またはOU単位でWAF・Shield Advanced・Security Groups・Network Firewallなどのセキュリティポリシーを一元管理するサービスです。指定したスコープ（全アカウント・特定OU・タグ）に対してポリシーが自動適用され、新規アカウントがOrganizationsに追加されるとスコープに含まれている場合に自動でポリシーが展開されます。 選択肢Aは AWS Configのカスタムルール＋Lambdaでの自動修復は技術的に実現可能ですが、カスタム実装のコストが高く、新規アカウントへの自動適用には別の仕組み（アカウント作成イベントのトリガーなど）が必要です。 選択肢Bは AWS CloudFormation StackSets は展開の自動化に有効ですが、新規アカウントへの自動適用にはCloudFormationの委任管理者設定が別途必要で、Firewall Manager ほど管理が統合されていません。 選択肢DはセキュリティチームがマスターWAF WebACLテンプレートを作成し各アカウントチームに配布して適用させる方法は、手動配布と定期監査ではスケーラビリティがなく、コンプライアンスの空白期間が発生するリスクがあり、Specialty試験が求める自動化・ガバナンスの観点から不適切です。