GlobalBankは、AWS Organizationsで40のAWSアカウントを運用しています。セキュリティチームは、以下の要件を満たす一元的な適用を必要としています。(1) すべてのインターネットに接続するALBに標準のAWS WAFウェブACLを適用する。(2) 組織全体のセキュリティグループルールで、承認されたポートを除き0.0.0.0/0を禁止する。(3) インターネットに接続するリソースでShield Advancedを有効にし、DRTアクセスを許可する。新しいアカウントやリソースにも自動的に適用したいと考えています。彼らは何を実装すべきですか？

AWS Firewall Managerは、AWS Organizationsと統合することで、複数のアカウントにわたるセキュリティポリシーを一元的に管理・適用できます。この機能により、WAFウェブACL、セキュリティグループ、AWS Shield Advancedなどのセキュリティ設定を組織全体に自動的に展開し、新しいアカウントやリソースにも適用することが可能です。これにより、GlobalBankの要件であるWAFの適用、セキュリティグループルールの制限、Shield Advancedの有効化を効率的かつ自動的に実現できます。 他の選択肢は、要件を完全に満たしません。SCPはリソース作成の拒否はできますが、既存リソースへのWAF適用やShield Advancedの有効化はできません。Configコンフォーマンスパックは非準拠の検出はできますが、自動的な修正や強制は行いません。Amazon Inspectorは脆弱性評価ツールであり、WAFやセキュリティグループの強制適用には適していません。