ある大企業がAWS Organizationsで100以上のAWSアカウントを管理しています。セキュリティチームから以下の監視要件が出された。 ・組織外部のプリンシパルからアクセス可能なリソース（S3バケット、IAMロール、KMSキー、SQSキュー、Lambda関数など）を継続的に検出すること ・新規アカウントが組織に追加された場合も自動的に監視対象となること ・検出結果をセキュリティ専用アカウントで一元管理すること これらの要件を最も適切に満たすアーキテクチャはどれか。
IAM Access Analyzerはリソースベースのポリシーを継続的に分析し、指定した信頼ゾーン外のプリンシパルからアクセス可能なリソースを検出します。Organizationsを信頼ゾーンに設定すると、S3・IAMロール・KMSキー・SQS・Lambda・EBSスナップショットなど複数リソースタイプを横断的に分析できます。委任管理者設定により、セキュリティアカウントで全組織の検出結果を一元管理でき、新規アカウントも自動的に監視対象となります。 選択肢A の Amazon Macieを委任管理者パターンで全アカウントに展開し、S3バケットの外部公開とデータ分類を組織全体で監視するは、S3バケット内の機密データ検出に特化しており、IAMロールやKMSキーなど他リソースタイプの外部共有検出は対象外です。 選択肢B の AWS Configのマネージドルール（s3-bucket-public-read-prohibited、kms-cmk-not-scheduled-for-deletionなど）をOrganization Conformance Packとして全アカウントに展開するは、リソースのコンプライアンス評価には有効ですが、複数リソースタイプのアクセス可能性を外部プリンシパルの観点から包括的に分析する機能はありません。 選択肢D の AWS Security Hubのカスタムアクションと連携したAWS Lambda関数を作成し、各アカウントのリソースポリシーを定期スキャンして外部共有を検出するは、開発・運用コストが高く、IAM Access Analyzerが標準機能として提供する継続的リアルタイム分析や自動カバレッジ拡張の恩恵を受けられません。