ある企業が AWS Organizations を使用して複数の AWS アカウントを管理している。開発チームが誤って S3 バケットをパブリックに設定するリスクを排除するため、組織内の全アカウントで S3 のパブリックアクセスを予防的に禁止したい。各アカウントの IAM 管理者であっても、この設定を変更できないようにする必要がある。最小限の管理コストで実現する最も適切な方法はどれか。

1. A. AWS Organizations の SCP（Service Control Policy）で s3:PutBucketPublicAccessBlock の Condition に s3:PublicAccessBlockConfiguration の各フラグが false であることを Deny する条件を設定し、組織のルートにアタッチする。
2. B. 各アカウントの S3 アカウントレベルのパブリックアクセスブロック設定を AWS Systems Manager Automation ドキュメントで定期的に確認・修復する。
3. C. AWS Control Tower の必須ガードレール「S3 バケットのパブリックアクセスの禁止」を有効化し、管理アカウントから全アカウントに強制適用する。
4. D. 各アカウントに AWS Config ルール（s3-bucket-public-read-prohibited）をデプロイし、非準拠バケットを自動修復する Lambda 関数をトリガーする。