DEAデータのセキュリティとガバナンス
ある金融機関のデータエンジニアリングチームは、規制要件により取引監査ログをAmazon S3に7年間保管し、その期間中は一切の変更・削除を禁止する必要があります。以下の追加条件があります。
・誤操作やランサムウェア攻撃による削除・上書きを防止する必要がある
・AWSのルートユーザーを含むいかなる管理者も保持期間中にオブジェクトを削除できないようにしたい
・既存のアプリケーションはS3 APIを使って監査ログをアップロードしており、大規模な変更は避けたい
この要件を満たすための最も適切なS3設定はどれですか？
AS3バケットのバージョニングを有効化し、MFADeleteを必須化することでオブジェクトの削除を防止する
MFADeleteはバージョン管理のセキュリティを強化しますが、適切な認証があれば削除が可能であり、ルートユーザーによる削除も防げません。
BS3バケットポリシーでPrincipalをルートユーザー以外に制限し、DeleteObjectアクションを明示的にDenyする
S3バケットポリシーによるDenyはAWSのルートユーザーには適用されないため、完全な削除防止にはなりません。
CS3 Object LockをCompliance（コンプライアンス）モードで有効化し、オブジェクトに7年間の保持期間を設定する
✓ 正解
S3 Object LockのComplianceモードは、AWSのルートユーザーを含むいかなるユーザーも保持期間中のオブジェクトを削除・上書きできない最高レベルの保護を提供します。WORM（Write Once Read Many）ストレージが必要な金融・医療などの規制要件に最適であり、既存のS3 APIとの互換性も維持されます。
DS3 Object LockをGovernance（ガバナンス）モードで有効化し、バケットレベルのデフォルト保持期間を7年に設定する
Governanceモードは、s3:BypassGovernanceRetention権限を持つ特権ユーザーが保持期間を上書きして削除できるため、規制上の完全な削除防止要件を満たしません。
解説
S3 Object LockのComplianceモードは、AWSのルートユーザーを含むいかなるユーザーも保持期間中のオブジェクトを削除・上書きできない最高レベルの保護を提供します。WORM（Write Once Read Many）ストレージが必要な金融・医療などの規制要件に最適であり、既存のS3 APIとの互換性も維持されます。
選択肢AのMFADeleteはバージョン管理のセキュリティを強化しますが、適切な認証があれば削除が可能であり、ルートユーザーによる削除も防げません。
選択肢BのS3バケットポリシーによるDenyはAWSのルートユーザーには適用されないため、完全な削除防止にはなりません。
選択肢DのGovernanceモードは、s3:BypassGovernanceRetention権限を持つ特権ユーザーが保持期間を上書きして削除できるため、規制上の完全な削除防止要件を満たしません。
ドメイン別正答率・予想スコアでリアルタイムに実力把握
無限ノックでDEAを徹底対策。全問AI生成のオリジナル問題。
無料で演習を始める →