Organization全体を一括棚卸し
管理アカウントの認証情報から全メンバーアカウントへ AssumeRole し、指定リージョンのロググループを集計します。
dry-run が既定
--execute を明示しない限り、delete-log-group / put-retention-policy は一切呼び出されません。
二重の Identity 検証
スキャン時と実行直前の2回、sts:get-caller-identity でアカウントIDの一致を検証します。
監査ログを必ず記録
削除・retention変更は JSON Lines の監査ログに必ず記録され、書き込みに失敗した操作は中断されます。