解説

コンプライアンス要件①〜④をすべて最小構成で満たすには、選択肢Aと選択肢Cの組み合わせが正解です。 選択肢Aは、Amazon Bedrock Model Invocation Loggingを有効化しCMK暗号化S3を出力先に設定することで、要件①（プロンプトと応答の完全記録）と要件②（CMK暗号化保管）を追加コードなしで満たします。 選択肢Bは、CloudWatch LogsもKMSキーを関連付ければCMK暗号化は可能ですが、大容量のプロンプト・応答データの長期保管にはS3が適しており、選択肢AのCMK暗号化S3直接指定の方が最小構成として優れているため不正解です。 選択肢Cは、AWS CloudTrailのAmazon Bedrock向けデータイベントを有効化することで、各APIコールのIAMプリンシパルやソースIPアドレスを記録し、要件③を追加コードなしで満たします。 選択肢Dは、Lambdaカスタムロギングミドルウェアをベドロック呼び出し前後に実装してDynamoDBに保存する方法ですが、開発コストが大幅に増大し要件④（追加開発コードの最小化）に反します。 選択肢Eは、Amazon MacieはS3バケット内のPII（個人識別情報：氏名・住所など個人を特定できる情報）を自動検出するサービスであり、APIコールの監査ログ記録とは目的が異なり、今回のコンプライアンス要件を満たしません。