DEAデータのセキュリティとガバナンス
ある証券会社の DBA チームは、Amazon Redshift クラスター上で実行されるすべての SQL クエリ、ユーザーの接続・切断イベント、DDL 操作を規制当局の要求に従い 3 年間保存しなければなりません。監査ログは Redshift クラスターの削除後も保持される必要があります。最小の設定変更でこの要件を満たす方法はどれですか？
ARedshift の監査ログを有効化し、接続ログ・ユーザーアクティビティログを専用 S3 バケットに出力してライフサイクルポリシーで 3 年間保持する
✓ 正解
Redshift 監査ログを有効化すると接続ログ・ユーザーアクティビティログ（実行 SQL・DDL 含む）を S3 に自動出力できます。S3 に保存されるためクラスター削除後もログが保持され、ライフサイクルポリシーで 3 年間保持を容易に設定できます。
BCloudTrail を有効化して Redshift への管理 API コールを記録し、CloudTrail ログを S3 バケットに 3 年間保存する
CloudTrail は Redshift クラスターへの管理 API（CreateCluster・ModifyCluster など）を記録しますが、Redshift 内で実行される SQL クエリや接続・切断イベントの詳細内容は記録されません。
CAmazon CloudWatch Logs に Redshift のログを転送し、ロググループの保持ポリシーを 1095 日（3 年）に設定する
Redshift のネイティブ監査ログの出力先は Amazon S3 のみです。CloudWatch Logs への直接転送機能はなく、CloudWatch Logs は SQL クエリレベルの監査ではなくアプリケーションログの集約向けサービスです。
DVPC Flow Logs を有効化して Redshift クラスターのネットワークトラフィックを記録し、CloudWatch Logs で 3 年間保持する
VPC Flow Logs は接続元・接続先 IP・ポート・プロトコル・転送バイト数などのネットワークフロー情報を記録するもので、SQL クエリの内容や実行ユーザー・DDL 操作などの Redshift ユーザーアクティビティは記録できません。
解説
選択肢Aの Redshift 監査ログ機能を有効化すると、接続ログ（接続・切断イベント）とユーザーアクティビティログ（実行 SQL・DDL 操作）が S3 バケットに自動出力されます。S3 保存のためクラスター削除後も監査ログは保持され、S3 ライフサイクルポリシーで 3 年間の保持管理も容易です。
選択肢Bの CloudTrail はクラスター作成・削除・設定変更などの管理 API コールを記録しますが、Redshift 内で実行される個々の SQL クエリや接続イベントの内容は記録されません。
選択肢Cの Amazon CloudWatch Logs は Redshift 監査ログの直接出力先として対応しておらず、Redshift のネイティブ監査ログ出力先は S3 のみです。
選択肢Dの VPC Flow Logs は IP アドレス・ポート・プロトコルのネットワークフローを記録するものであり、SQL クエリの内容やユーザー接続イベントの詳細を記録する機能を持ちません。
ドメイン別正答率・予想スコアでリアルタイムに実力把握
無限ノックでDEAを徹底対策。全問AI生成のオリジナル問題。
無料で演習を始める →