ある大企業は AWS Organizations を使用して 40 の開発チーム用アカウントを管理しています。各開発チームは必要な AWS リソース（EC2・RDS・S3 など）をセルフサービスでプロビジョニングしたいと考えています。 ただし以下の要件があります。 ①承認済みの構成（特定インスタンスタイプ・暗号化設定済み RDS・タグ付け必須など）のリソースのみ許可する。 ②開発者に CloudFormation や IAM の直接操作権限を付与しない。 ③プロビジョニングされたリソースを IT 管理チームが一元追跡・ライフサイクル管理できる。 この要件を最も少ない運用負荷で実現するアーキテクチャはどれですか？
AWS Service Catalog は承認済みの CloudFormation テンプレートを「製品（Product）」としてカタログ化し「ポートフォリオ」にまとめて組織内アカウントへ共有できるサービスです。開発者は Service Catalog の利用権限のみで製品をセルフサービスプロビジョニングでき、実際のリソース作成は Service Catalog のサービスロールが実行するため、開発者に CloudFormation や IAM の直接権限は不要です。プロビジョニングされたリソースは「プロビジョニングされた製品」として一元管理・追跡・終了管理が可能で、3 つの要件をすべて満たします。 選択肢A: 「S3 + AWS CLI での直接スタック作成」は開発者に CloudFormation 権限が必要になり要件②を満たしません。 選択肢C: 「SCP + CloudFormation フル権限」は利用リソースの制限はできますが承認済みテンプレートの強制適用や一元追跡の仕組みがなく要件①③を満たしません。 選択肢D: 「Control Tower アカウントファクトリー」は新規アカウントの標準化に特化しており、既存アカウントでの継続的なセルフサービスプロビジョニングには対応しません。