金融機関がAmazon Bedrockを使った融資審査支援システムを運用している。金融規制当局の審査で以下の要件が課された： ・すべてのモデル推論リクエストの入力プロンプトと出力レスポンスの全文を保存すること ・どのIAMプリンシパルがいつどのモデルを呼び出したかを記録すること ・保存したログは7年間保持し、保存から90日経過後は変更・削除を技術的に不可にすること これらすべての要件を満たす最小構成はどれか。
3つの要件を満たすために2つの機能を組み合わせる。 ①入力プロンプトと出力レスポンスの全文保存：AWS CloudTrailはBedrock APIの呼び出しメタデータ（誰が・いつ・どのAPIを）は記録するが、リクエスト・レスポンスのペイロード内容（プロンプト・回答テキスト）は記録しない。Amazon Bedrock Model Invocation Loggingを有効化することで、モデルへの入力プロンプトとモデルからの出力レスポンスの全文をS3に送信できる。 ②IAMプリンシパルの呼び出し記録：AWS CloudTrailのデータイベントでBedrockを有効にすると、呼び出し元のIAMユーザーARN・ロールARN・セッション情報・タイムスタンプ・モデルIDを記録できる。Model Invocation LoggingはaccountIdは記録するが特定のIAMプリンシパルARNはCloudTrailが補完する。 ③変更・削除不可の7年保持：S3 Object Lock Complianceモードは指定した保持期間（7年）の間、AWSルートユーザーを含む誰もオブジェクトを削除・上書きできなくする。 選択肢AのCloudTrailはAPI呼び出しメタデータのみでプロンプト・レスポンス全文を保存しないため要件①を満たさず、またS3ライフサイクルポリシーはオブジェクトの削除を防ぐ不変性保証を提供しない。 選択肢CのCloudWatch Logsは変更・削除不可（イミュータブル）の保持機能を持たないためS3 Object Lockのような強制保持はできない。 選択肢DのAWS Configはリソース設定変更の追跡ツールであり、モデル推論のプロンプト・レスポンスの記録機能はない。