开发人员被禁止启动 VPC 网络基础设施。每当创建 NAT 网关时，必须立即通知网络安全团队将其终止。该解决方案应易于在多个 AWS 账户中部署，管理开销最小，并提供可访问的合规性历史记录。哪种解决方案符合这些要求？

正确答案是创建一个自定义 AWS Config 规则，因为它能有效满足所有要求。AWS Config 规则可以持续监控 NAT 网关的创建，并触发 AWS Systems Manager Automation 运行手册来自动终止 NAT 网关并发送通知。通过 CloudFormation StackSets，该解决方案可以轻松部署到多个账户，并提供合规性历史记录。 其他选项的不足之处在于： 脚本部署在 EC2 实例上增加了管理开销，且不具备原生的多账户部署和合规性历史记录功能。 Lambda 函数需要额外的事件触发机制（如 CloudWatch Events），且 OpenSearch Service 集群增加了复杂性和成本。 GuardDuty 主要是安全检测服务，虽然可以检测 NAT 网关创建，但其主要功能并非合规性检查和自动修复，且需要额外的 EventBridge 规则和 Step Functions 来实现自动化，不如 AWS Config 规则直接。