ある企業は AWS Organizations で複数の AWS アカウントを管理しています。セキュリティチームは、意図せず外部（組織外）に公開されている S3 バケット・IAM ロール・KMS キー・Lambda 関数などのリソースを継続的に検出し、新規の外部公開が発生した際に自動で通知を受けたいと考えています。運用負荷が最も低い方法はどれですか？
IAM Access Analyzer はリソースベースポリシーを継続的に分析し、ゾーンオブトラスト（組織や AWS アカウント）の外部からアクセス可能なリソースを自動検出します。Organizations レベルで有効化すると S3・IAM ロール・KMS キー・Lambda・SQS など複数のリソースタイプを一括でカバーできます。新規 Finding は EventBridge イベントとして自動発行されるため、SNS 通知や自動修復が容易に実装できます。 選択肢AのAWS Config ルールは S3 のパブリックアクセスには有効ですが、IAM ロールや KMS キーへの外部アクセス分析（ポリシー解析）は行えないため網羅性に欠けます。 選択肢CのAWS Trusted Advisor は S3 のパブリックアクセスのみをチェックし、他のリソースタイプはカバーしません。 選択肢DのAWS Security Hub は設定ベースのベストプラクティス準拠チェックに優れますが、外部エンティティからのリソースアクセス分析は IAM Access Analyzer の役割であり Security Hub 単独では実現できません。