解説

Lake Formation はアクセス制御を仲介する際に、認証情報の発行を GetDataAccess などのイベントとして AWS CloudTrail に記録します。 これによりどのプリンシパルがどのテーブル・列のデータにアクセス権を行使したかを、改ざん耐性のあるログ（証明書検証可能なCloudTrailログ）として追跡でき、追加実装なしで監査証跡を得られます。 選択肢の S3 サーバーアクセスログは、オブジェクト単位の記録でテーブル・列の論理単位やプリンシパルの権限行使を表現できない。 選択肢の Athena クエリログは、クエリ文字列は分かるが Lake Formation の列レベル権限の行使を直接示さず、解析の運用負荷も高い。 選択肢の AWS Config は、リソース構成の変更履歴を記録するサービスでデータアクセスの記録には対応しない。