解説

選択肢BのAWS IAM Access Analyzer は、S3 バケット・IAM ロール・KMS キー・Lambda 関数・SQS キュー・Secrets Manager シークレットなど複数のリソースタイプのリソースベースポリシーを継続的に分析し、組織外のエンティティやパブリックからのアクセスを許可している設定を数分以内に発見事項として報告します。発見事項は Amazon EventBridge にイベントとして自動発行されるため、EventBridge ルールと SNS を組み合わせることで即時通知パイプラインを構築できます。 選択肢AのAWS Config カスタムルールは設定変更の評価には使えますが、ポリシーの意味論的な分析（外部アクセスの可否判断）を独自実装する必要があり、また毎時の周期評価では数分以内の検出要件を満たせない。 選択肢CのAmazon Macie は S3 バケット内に保存されたデータの機密性を検出するサービスで、IAM ロールや KMS キーなど S3 以外のリソースのポリシー分析機能を持たず、要件のカバー範囲が不十分。 選択肢DのAWS CloudTrail は API コールの事後記録サービスで、実際のアクセスが発生してから記録する仕組みのため、ポリシー設定時点でリスクをプロアクティブに検出するには適していない。