金融規制を受ける企業が Amazon Bedrock を使用した生成AIシステムを本番環境で運用しています。コンプライアンス部門から以下の要件が提示されました。 ①すべての Bedrock モデル呼び出しの完全なプロンプトと応答を記録すること、 ②ログは改ざん不可能な形で7年間保持すること、 ③コストセンタータグが付与されていない Bedrock 呼び出しを15分以内にセキュリティチームへ通知すること、 ④すべてのログをカスタマー管理キー（CMK）で暗号化すること。最も少ない運用オーバーヘッドで要件をすべて満たす構成はどれですか？
Bedrock モデル呼び出しログ（Model Invocation Logging）はプロンプトと応答の完全な内容を S3 または CloudWatch Logs に記録できる唯一の手段です。S3 Object Lock のコンプライアンスモードは管理者権限でも削除・変更できない真の改ざん防止を実現します（要件②）。EventBridge + Lambda + SNS でタグ欠如の15分以内アラートが実現できます（要件③）。 選択肢BのAWS CloudTrail は API メタデータ（誰がいつ呼び出したか）を記録しますがプロンプト・応答の本文は記録しないため、要件①を満たしません。 選択肢CのCloudWatch Logs は KMS 暗号化に対応しますが、S3 Object Lock のような規制準拠レベルの WORM（Write Once Read Many）改ざん防止機能を持たず、要件②を単独では満たせません。 選択肢DのKinesis Firehose + S3 Glacier Deep Archive は多数のコンポーネントを組み合わせる必要があり、S3 Object Lock の直接適用も困難で、運用オーバーヘッドが最も大きくなります。