企業がAWS Organizationsで管理する80のメンバーアカウントに、セキュリティ標準（CloudTrail有効化・デフォルトVPC削除・AWS Config有効化）を全リージョンに適用したいと考えています。今後Organizationsに追加される新規アカウントにも自動的に同じ設定を適用する必要があります。最も運用負荷が低い実装方法はどれですか？
CloudFormation StackSetsのSERVICE_MANAGED権限モードでは、AWS Organizationsとのネイティブ統合により管理アカウントからメンバーアカウントへの権限設定が自動化されます。「自動デプロイ」オプションを有効にすると新規アカウントがOUに追加された際に自動でスタックインスタンスがデプロイされます。 選択肢A（SELF_MANAGED）: 各メンバーアカウントでIAMロール（AWSCloudFormationStackSetExecutionRole）を手動作成する必要があり、80アカウントへの適用と新規アカウントの自動設定が困難です。SERVICE_MANAGEDと比べて運用負荷が大幅に高くなります。 選択肢B（SERVICE_MANAGED + 自動デプロイ）: OrganizationsとのネイティブなIAM統合により追加のロール設定なしで全メンバーアカウントにデプロイできます。「自動デプロイ」オプションで新規アカウントへの自動適用も実現し、運用負荷を最小化できます。 選択肢C（LambdaカスタムソリューションによるEventBridge連携）: Organizationsのアカウント作成イベントをEventBridgeで検出しLambdaでデプロイするカスタムソリューションは、構築・メンテナンスコストが増大します。SERVICE_MANAGEDで実現できる機能をわざわざ自作する必要はありません。 選択肢D（Control Tower + 手動スクリプト）: 新規アカウント作成のたびに担当者が手動でスクリプトを実行するアプローチは人的ミスのリスクがあり、自動適用という要件に根本的に反します。運用負荷も最も高くなります。