DEAデータのセキュリティとガバナンス
ある金融機関のコンプライアンスチームは、Amazon Redshiftクラスターで実行されるすべてのSQLクエリ、ユーザーのログイン・ログアウト、ユーザー／グループへの変更を長期保管（最低7年）し、定期的な規制監査に活用したいと考えています。
また、保管されたログはAmazon Athenaを使ったアドホック分析にも対応する必要があります。
最も適切な構成はどれですか？
AAmazon CloudWatchでRedshiftクラスターのEnhanced VPC Flow Logsを有効化し、CloudWatch Logs Insightsでクエリする
VPC Flow Logs はVPCレベルのネットワークトラフィックを記録するサービスで、Redshift内部のSQLクエリや認証イベントは記録対象外です。
BAmazon CloudTrailでRedshiftのデータイベントを記録し、S3に保存されたログをAthenaでクエリする
CloudTrail はAWS APIコール（CreateCluster等の管理操作）を記録するサービスで、Redshiftクラスター内部のSQLクエリや認証ログは含まれません。
CRedshiftクラスターの監査ログ（Audit Logging）をAmazon S3に出力し、AWS Glue CrawlerでスキャンしてAthenaからクエリ可能にする
✓ 正解
Redshift Audit Logging はSQLクエリ・接続・ユーザー操作ログをS3に継続的に出力し、Glue Crawler経由でAthenaからのアドホック分析と長期保管が可能です。
DRedshiftクラスター内のSTL_QUERYシステムビューを定期的にUNLOADしてAmazon S3に保存し、Athenaでクエリする
STL_QUERY はRedshift内のシステムテーブルで保持期間に制限があり、クラスター障害時のデータ消失や手動UNLOADの運用負荷から7年保管要件に適しません。
解説
Amazon RedshiftのAudit Logging機能を有効にすると、接続ログ・ユーザーアクティビティログ・クエリログをS3バケットへ継続的に出力できます。S3のライフサイクルポリシーで7年間の長期保管を設定し、Glue CrawlerでGlue Data Catalogに登録することでAthenaからアドホック分析が可能になります。
AのVPC Flow LogsはVPCレベルのネットワークトラフィックをキャプチャするものであり、Redshift内で実行されたSQLクエリや認証イベントの内容は記録されません。
BのCloudTrailが記録するのはAWS APIコール（CreateCluster等）であり、Redshiftクラスター内部で実行されたSQLや認証ログは含まれません。
DのSTL_QUERYはRedshiftクラスター内のシステムテーブルであり、保持期間の制限やクラスター障害時にログが失われるリスクがあります。手動UNLOADによる運用は自動化が困難で信頼性も低く、7年間の長期保管要件に適しません。
ドメイン別正答率・予想スコアでリアルタイムに実力把握
無限ノックでDEAを徹底対策。全問AI生成のオリジナル問題。
無料で演習を始める →