SCS-C02#2(security-logging)
ある金融企業は、S3 バケット内の機密オブジェクトに対する GetObject および PutObject の呼び出しをすべて監査する必要があります。現在は管理イベントのみ記録する CloudTrail 証跡が存在します。コンプライアンス要件として、誰がいつどのオブジェクトにアクセスしたかを完全に追跡できる必要があります。どのように構成すべきですか。
正解：C
正解の根拠
CloudTrail のデータイベントを既存の証跡に追加することで、S3 オブジェクトレベルの API 呼び出し (GetObject, PutObject など) を呼び出し元アイデンティティ付きで記録できます。これがオブジェクトレベル監査の標準的な仕組みです。
不正解の理由
- A: サーバーアクセスログはベストエフォート配信であり、コンプライアンス監査には CloudTrail データイベントが適します。
- B: イベント通知は通知用途であり、誰がアクセスしたかの完全な監査証跡にはなりません。
- D: AWS Config はリソース構成の変更を記録するもので、オブジェクトアクセス自体は対象外です。
コメント