あるデータエンジニアリングチームは、コンプライアンス要件に基づいて Amazon S3 データレイクへのアクセス監査を実施する必要があります。 要件は以下の通りです。 - 過去30日間に特定の S3 バケット内のオブジェクトを読み取りまたは削除した IAM ユーザーとロールの一覧を取得する - 同様の分析を将来にわたって繰り返し実行できる仕組みを構築する 最も適切なアプローチはどれですか？
S3 オブジェクトの読み取り（GetObject）や削除（DeleteObject）を IAM プリンシパル情報付きで確実に記録するには、CloudTrail のデータイベントを有効にする必要があります。ログを S3 に保存して Athena でクエリすることで、過去の任意期間を繰り返し分析できるコンプライアンス対応の仕組みを構築できます。 選択肢AのS3 サーバーアクセスログは、ログ配信がベストエフォートであるため一部のアクセスが記録されない可能性があり、コンプライアンス目的の監査には完全性が保証される CloudTrail データイベントが適している。 選択肢CのCloudTrail の管理イベントは、バケット作成・削除などのコントロールプレーン操作を記録しますが、オブジェクトの読み取り・削除などのデータプレーン操作は含まれない。 選択肢DのAmazon Macie は、データ分類と機密情報の自動検出に特化しており、特定 IAM エンティティのアクセス履歴を一覧取得する機能は持っていない。