ある企業がAWS Control Towerを使用して、複数の事業部門のAWSアカウントをガバナンス管理しています。セキュリティチームから以下の3つの要件が提示されました。 ・すべての本番アカウントで、S3バケットへのパブリックアクセスをSCPレベルで強制的にブロックする必要がある ・開発アカウントでIAMユーザーのMFAが有効になっているかを継続的に検出・レポートする必要がある ・新しいリソースをAWS CloudFormationでプロビジョニングする前に、必須タグ（CostCenter、Environment）が付与されているかを確認する必要がある 3つの要件にそれぞれ最も適したAWS Control Towerガードレールの組み合わせはどれか？
AWS Control Towerのガードレールには3種類あります。Preventive（予防的）ガードレールはSCPを使用してアクションを事前ブロックするため、S3パブリックアクセスの「強制ブロック」に最適です。Detective（検出）ガードレールはAWS Config Rulesで継続的に準拠状況を評価・レポートするため、MFA有効化の確認に適しています。Proactive（プロアクティブ）ガードレールはAWS CloudFormation Hooksでプロビジョニング前にリソース設定を検証するため、タグ付与の「事前確認」に最適です。 選択肢BのPreventive（MFA確認）はSCPベースのため既存IAMユーザーのMFA設定状況を継続的に検出・レポートできません。また、Detective（タグ確認）はプロビジョニング後の検出となり事前確認の要件を満たしません。 選択肢CのDetective（全要件一律）は強制ブロック（Preventive）とプロビジョニング前確認（Proactive）の要件を満たしません。 選択肢DのDetective（S3パブリックアクセス）は検出のみで強制ブロックができないため要件を満たしません。