ある企業が、AWS Organizations で管理する複数のアカウントで AWS CloudTrail を有効化し、すべてのAPI アクティビティログを中央の監査アカウントの S3 バケットに集約したい。メンバーアカウントの管理者がCloudTrail を無効化したり、ログを削除したりできないようにしたい。最も適切な設定はどれか。

1. A. AWS Security Hub を使用してすべてのアカウントのセキュリティイベントを集約し、CloudTrail の代わりに使用する。
2. B. 各アカウントで個別に CloudTrail を設定し、ログを S3 バケットに送信する。IAM ポリシーで CloudTrail の無効化を制限する。
3. C. CloudTrail Insights を有効化して異常な API アクティビティを検知する。
4. D. AWS Organizations の管理アカウントから組織トレイル（Organization Trail）を作成する。組織トレイルはメンバーアカウントから無効化できず、ログは管理アカウントまたは専用の監査アカウントの S3 バケットに集約される。