ある企業が、複数の AWS アカウントにわたるリソースへのアクセスを Lambda 関数から行う必要がある。Lambda 関数はアカウント A に存在し、アカウント B の S3 バケットと DynamoDB テーブルにアクセスしたい。最小権限かつ安全にクロスアカウントアクセスを実現する最も適切な方法はどれか。

1. A. アカウント B の IAM ユーザーのアクセスキーを Lambda 関数の環境変数に設定する。
2. B. アカウント B に IAM ロール（クロスアカウントロール）を作成し、アカウント A の Lambda 実行ロールから AssumeRole できるよう信頼ポリシーを設定する。Lambda 関数実行時に STS AssumeRole で一時認証情報を取得してアカウント B のリソースにアクセスする。
3. C. アカウント A と B を AWS Organizations で管理し、SCP で自動的にクロスアカウントアクセスを設定する。
4. D. アカウント B の S3 バケットとDynamoDB をアカウント A の VPC に移動する。