ある企業が、Amazon S3 バケットへの意図しないパブリックアクセスを組織全体で確実に防止したい。現在の構成では、開発者が新しい S3 バケットを作成する際に、パブリックアクセスブロック設定を無効化してしまうことがある。コードの変更なしに、組織の全アカウントで新規・既存バケットへのパブリックアクセスを確実にブロックする最も適切な方法はどれか。

1. A. S3 バケットポリシーで各バケットに個別にパブリックアクセスを拒否するポリシーを追加する。
2. B. 各アカウントでアカウントレベルの S3 パブリックアクセスブロック（4 項目すべて有効）を設定する。この設定はアカウント内のすべてのバケットに適用される。
3. C. AWS Config ルール（s3-account-level-public-access-blocks）を全アカウントに展開して非準拠を検知する。
4. D. AWS Organizations の SCP と AWS Config のアカウントレベルの S3 パブリックアクセスブロック設定を組み合わせる。AWS Organizations の SCP で s3:PutBucketPublicAccessBlock の Deny 条件を設定し、さらに各アカウントの S3 アカウントレベルのパブリックアクセスブロックを Systems Manager Automation で有効化する。