ある企業はAWS Organizationsで20のAWSアカウントを管理しています。セキュリティチームは以下の要件を満たす形で、組織外部から不正にアクセス可能なリソースを継続的に検出・監視したいと考えています。 ・組織全体のS3バケット、IAMロール、KMSキー、SQSキューなどを対象に外部公開リソースを一元的に検出したい ・組織内のアカウント間アクセスは「信頼済み」として扱い、誤検知アラートを発生させたくない ・運用オーバーヘッドを最小化したい この要件を最も効果的に満たすIAM Access Analyzerの設定はどれですか？
IAM Access Analyzerの組織スコープアナライザーは、管理アカウントまたは委任管理者アカウントから作成でき、AWS Organizations全体をゾーンオブトラスト（信頼ゾーン）として設定できます。これにより組織外部から到達可能なリソースのみを外部公開として検出し、組織内アカウント間のアクセスは信頼済みと見なすため誤検知を大幅に削減できます。1つのアナライザーで組織全体をカバーでき、運用効率も最大化されます。 選択肢Aのアカウントスコープのアナライザーは各アカウント・リージョン単位に個別作成が必要で運用負荷が高く、組織内アカウントからのアクセスも外部扱いとなり誤検知が増えます。 選択肢CのAWS Configは設定変更のコンプライアンスチェックに使われるサービスであり、リソースポリシーの外部公開を分析するIAM Access Analyzerの機能は持ちません。 選択肢DのGuardDutyは脅威インテリジェンスベースの異常行動検知サービスです。リソースポリシーの外部公開状態を静的に分析するIAM Access Analyzerの機能は持ちません。