あるエンタープライズ企業はAWS Organizationsで50個のAWSアカウントを管理しています。セキュリティチームは、すべてのアカウントにわたって以下を継続的に検出・評価する必要があります。 ・EBSボリュームの暗号化有効化 ・S3バケットのパブリックアクセスブロック ・RDSインスタンスの自動バックアップ有効化 CloudFormationテンプレートを活用しながら組織全体への展開を効率化したいと考えています。最も適切なアプローチはどれですか？
AWS ConfigのコンフォーマンスパックはYAML/CloudFormationテンプレートで複数のConfig規則をパッケージ化し、Organizations連携により委任管理者アカウントから全メンバーアカウントへ一括展開できます。EBS暗号化（encrypted-volumes）・S3パブリックアクセスブロック（s3-bucket-public-read-prohibited等）・RDS自動バックアップ（rds-automatic-backups-enabled等）に対応するマネージドルールが用意されており、CloudFormationテンプレートで定義して組織全体に一括適用できます。継続的なコンプライアンス評価が自動化され、非準拠リソースを組織全体で一元把握できます。 選択肢AのSecurity HubのAWS Foundational Security Best Practices標準も類似のコンプライアンス評価を提供しますが、カスタムConfig規則をCloudFormationで定義して一括管理するという要件は、Configコンフォーマンスパックの方が直接的に対応できます。 選択肢CのAWS Trusted AdvisorはBusinessサポートでセキュリティベストプラクティスをチェックしますが、CloudFormationによるカスタムルール定義・Organizationsへの一括展開という柔軟性においてConfigコンフォーマンスパックに劣ります。 選択肢DのEventBridge + Lambdaによるカスタム実装は各アカウントへの個別設定が必要で、50アカウントへの展開コストが高くなります。