ある企業がAWS Control Towerを使用してマルチアカウント環境を管理している。セキュリティチームは以下の2つのセキュリティ要件を実装したい。 1. メンバーアカウントがAWS CloudTrailを無効化できないようにする 2. メンバーアカウント内でセキュリティグループがすべてのIPアドレス（0.0.0.0/0）からのSSHアクセス（ポート22）を許可している場合に検出する これらの要件を最も適切に満たすAWS Control Towerのガードレールの組み合わせはどれか？
AWS Control Towerのガードレールには「予防型」と「検出型」の2種類があります。予防型ガードレールはSCP（Service Control Policy）を使用し、特定のAPI操作そのものを禁止します。CloudTrailの無効化（cloudtrail:DeleteTrail等）はAPI操作であるため、予防型が適切です。検出型ガードレールはAWS Configルールを使用し、既存リソースの設定が非準拠状態になっていないかを継続的に評価します。セキュリティグループのインバウンドルール設定はリソースの状態評価であるため、検出型が適切です。 選択肢Aは誤りです。検出型のみではCloudTrailの無効化を事前に防ぐことができません。 選択肢Cは誤りです。Control TowerのガードレールにIAM権限境界は使用されません。またSCPはAPI操作の制限であり、既存リソースの設定状態（ポート開放）を「検出」する機能はありません。 選択肢Dは誤りです。SCPは特定のAPI操作を制限するものであり、既存リソース設定の継続的な評価・検出には対応していません。