ある企業のセキュリティエンジニアが、AWS Organizations配下の全アカウントにおいて、組織外のプリンシパルからアクセス可能なリソース（S3バケット、IAMロール、KMSキーなど）を継続的に検出する仕組みを構築したいと考えています。 新たに外部アクセス可能なリソースが作成・変更された際には、セキュリティチームにリアルタイムで通知する必要があります。 最も適切なアーキテクチャはどれですか？
AWS IAM Access Analyzerを組織レベルのアナライザーとして有効化し、信頼ゾーン（Zone of Trust）をAWS Organizationsの組織全体に設定する。外部アクセスのfindingはAmazon EventBridgeルールでキャプチャしてAmazon SNSでセキュリティチームに通知する。 IAM Access Analyzerはリソースベースのポリシーを継続的に分析し、組織外のプリンシパルからアクセス可能なリソースを検出します。組織レベルのアナライザーを作成すると信頼ゾーンを組織全体に設定でき、S3・IAMロール・KMSキー・SQS・Lambdaなど複数リソースタイプを横断的に監視します。新規findingはEventBridgeイベントとして発生するため、SNS通知によるリアルタイムアラートが実現できます。 選択肢B:GuardDutyは悪意ある振る舞いの脅威検出サービスであり、リソースポリシーによる外部アクセス許可の体系的な検出はAccess Analyzerの役割です。 選択肢C:Athenaによる定期クエリはリアルタイム検出ではなく、設計・運用の複雑さも高くなります。 選択肢D:Macieはs3バケット内の機密データ分類に特化しており、IAMロールやKMSキーへの外部アクセス分析機能は持ちません。