解説

S3オブジェクトレベルのAPIコール（GetObject等）はCloudTrailの「データイベント」として記録され、実行したIAMプリンシパルのARNも含まれます。ログをS3に保存してAthenaでクエリすることで、追加インフラの構築なしにSQLで監査情報を抽出できます。 選択肢BはマネジメントイベントのみでGetObjectのようなオブジェクトレベルの操作は記録されないため要件を満たせません。 選択肢CはS3サーバーアクセスログもリクエスト元を記録しますが、CloudTrailと比べてIAMロール情報の詳細度が低く、Redshiftへのロードが必要で構成が複雑になります。 選択肢DはMacieが機密データの検出・分類ツールであり、誰がアクセスしたかの監査ログ取得機能はありません。