ある企業は、複数の部門のAWSアカウントを管理するためにAWS Organizationsを使用しています。管理アカウントは、プロジェクトレポートを含むAmazon S3バケットを所有しています。この企業は、このS3バケットへのアクセスを、AWS Organization内のアカウントのユーザーのみに制限したいと考えています。運用上のオーバーヘッドが最も少ない、この要件を満たすソリューションはどれですか？

S3バケットポリシーにaws:PrincipalOrgIDグローバル条件キーを追加することで、AWS Organizationsの管理アカウントが所有するS3バケットへのアクセスを、組織内のアカウントに限定できます。これは、組織IDを参照するだけで済むため、運用上のオーバーヘッドが最も少ない方法です。 他の選択肢は、この要件を満たすには不適切です。 aws:PrincipalOrgPathsは、特定のOU内のアカウントにアクセスを制限する場合に有効ですが、組織全体のアカウントに限定する場合にはaws:PrincipalOrgIDの方がシンプルです。 CloudTrailイベントを監視してバケットポリシーを更新する方法は、手動または複雑な自動化が必要となり、運用上のオーバーヘッドが大きくなります。 aws:PrincipalTagはユーザーにタグを付ける必要があるため、管理が複雑になり、組織内のすべてのアカウントのユーザーに適用するには手間がかかります。