解説

CloudTrailのデータイベントを有効にすると、S3オブジェクトレベルの操作（GetObject、PutObjectなど）が、リクエスト元のIAMプリンシパル・タイムスタンプ・対象オブジェクトキーとともに記録されます。さらにログファイル検証（Log File Validation）を有効にすると、SHA-256ダイジェストファイルが自動生成され、AWS CLIで改ざんの有無を検証できます。2つの要件を同時に満たせるのはこの構成のみです。 選択肢AのS3サーバーアクセスログはオブジェクトアクセスを記録しますが、ログ自体の改ざん検証機能がなく、IAMプリンシパルの詳細情報もCloudTrailほど充実していないため要件②を満たしません。 選択肢CのAmazon Macieは機密データの検出・分類を行うサービスであり、オブジェクトアクセス操作の監査ログ記録には使用しません。 選択肢DのAWS Configはリソースの設定変更（バケットポリシーの変更など）を追跡するサービスであり、GetObjectのようなオブジェクトレベルのアクセス操作は記録しません。