ある企業が、AWS で運用するシステムのインシデント対応時に、特定の IAM ロールを持つセキュリティエンジニアが本番 EC2 インスタンスに時間限定（最大 2 時間）でアクセスできる仕組みを構築したい。アクセス後はすべての操作ログが記録され、承認なしに 2 時間を超えてアクセスし続けることができないようにしたい。最も適切なアーキテクチャはどれか。

1. A. AWS IAM Identity Center でセキュリティエンジニア用のアクセス許可セットを作成し、セッション期間を 2 時間に設定する。Session Manager を使って EC2 にアクセスし、セッションログを CloudWatch Logs と S3 に記録する。
2. B. セキュリティエンジニアが必要なときに IAM ユーザーのアクセスキーを生成し、2 時間後に手動で削除する。
3. C. セキュリティエンジニアの IAM ロールに EC2 へのフルアクセスを付与し、作業完了後に権限を手動で削除する。
4. D. 踏み台 EC2 を本番 VPC に配置し、セキュリティエンジニアが踏み台経由で EC2 にアクセスする。2 時間後に踏み台を停止する。