ある企業は、AWS Organizations を使用して数百の AWS アカウントを管理しています。一部のアカウントは、クロスアカウント IAM ロールと Amazon S3 バケットポリシーを介して、外部の AWS プリンシパルにアクセス権を付与しています。同社は、どの外部プリンシパルがどのアカウントにアクセスできるかを判断する必要があります。この可視性を提供するソリューションはどれですか？

正解は、組織レベルで AWS IAM Access Analyzer を有効にし、組織を信頼ゾーンとして設定することです。IAM Access Analyzer は、外部エンティティと共有されているリソースを特定し、組織レベルで有効にすると、組織内のすべてのアカウントを分析できます。信頼ゾーンとして組織を設定することで、組織外のプリンシパルへのアクセスのみが分析対象となり、可視性が向上します。結果を AWS アカウント ID でフィルタリングすることで、特定のアカウントにアクセスできる外部プリンシパルを正確に特定できます。 カスタムの AWS Config ルールは、IAM ロールの設定変更を監視できますが、外部アクセス許可を直接分析するものではありません。Amazon Inspector は脆弱性評価ツールであり、IAM ロールや S3 バケットポリシーの外部アクセス分析には適していません。Amazon GuardDuty は脅威検出サービスであり、外部アクセス許可の静的分析には使用されません。