ある企業が、社内のセキュリティポリシーとして「本番アカウントへの直接的な人間によるアクセスを禁止し、すべての変更は CI/CD パイプライン経由で行う」ことを定めた。デプロイパイプラインは開発アカウントに存在し、本番アカウントのリソースを変更する。一方で緊急時には特定の管理者のみが本番環境に一時的にアクセスできる Break Glass アクセスが必要である。最も適切なアーキテクチャはどれか。

1. A. 本番アカウントに踏み台 EC2 を配置し、管理者は踏み台 EC2 経由で本番リソースを操作する。踏み台へのアクセスは IP 制限で制御する。
2. B. 開発アカウントの CI/CD ロール（CodePipeline サービスロール等）に本番アカウントへのクロスアカウント AssumeRole を許可する。緊急用に IAM Identity Center でブレークグラスロールを作成し、承認ワークフロー付きの一時的な権限昇格を構成する。
3. C. 本番アカウントに常時アクセス可能な IAM ユーザーを管理者全員分作成し、多要素認証（MFA）を必須とする。
4. D. AWS Organizations の SCP で本番アカウントへの人間によるコンソールアクセスを永続的にブロックし、緊急時も例外を設けない。