ある金融サービス企業は、AWS Organizations で管理される20個のAWSアカウントにわたって数百のS3バケットを運用しています。コンプライアンス要件として、クレジットカード番号・社会保障番号（SSN）・パスポート番号などの個人識別情報（PII）が含まれるS3バケットをすべて自動的に特定し、新たな機密データが検出されるたびに一元化されたセキュリティダッシュボードでリアルタイムに把握する仕組みを求めています。各メンバーアカウントへの手動設定を最小化するアーキテクチャとして最も適切なものはどれですか？
Amazon Macie は機械学習と100種類以上の組み込みデータ識別子（クレジットカード番号・SSN・パスポート番号等）を使用してS3オブジェクトの内容を解析・分類する専用サービスです。AWS Organizations との統合により委任管理者アカウントから全メンバーアカウントを一括有効化でき、個別設定なしで大規模展開が可能です。Security Hub へのネイティブ統合により検出結果を自動的に一元集約できます。 選択肢BのAmazon GuardDuty S3 Protectionは、CloudTrail S3データイベントを分析してAPIレベルの脅威（異常なアクセス元・既知の悪意あるIPからのダウンロード等）を検出するサービスですが、S3オブジェクトの内容を解析してPIIを識別・分類する機能を持ちません。 選択肢CのAWS Configマネージドルールは、S3バケットの設定値（暗号化・公開アクセスブロック等）の準拠状態を評価するサービスであり、バケット内オブジェクトの内容解析には非対応です。Lambdaでの自作スキャンは開発・保守コストが高く、Macieの識別精度には及びません。 選択肢DのCloudWatch Logs Insightsは、ロググループのログレコードをクエリ分析するサービスです。S3サーバーアクセスログにはリクエストメタデータ（操作者・日時・バケット名等）のみが含まれ、S3オブジェクトの内容は記録されないため、このアプローチではPIIの検出は不可能です。