解説

S3 Object LockのComplianceモードは、AWSのルートアカウントを含む誰もが保持期間中にオブジェクトを削除・上書きできないWORM（Write Once Read Many）ストレージを実現します。保持期間の短縮・解除も不可能であり、金融規制などの厳格なコンプライアンス要件に最適です。 選択肢BのGovernanceモードは削除保護を提供しますが、s3:BypassGovernanceRetention権限を持つ特権ユーザーはロックを解除できます。「ルートアカウントを含む誰も削除できない」という要件を満たしません。 選択肢AのS3バケットポリシーによるDeny設定は、バケットポリシー自体をルートアカウントや十分な権限を持つ管理者が変更できるため、真の不変性を保証できません。 選択肢DのMFA Deleteはバージョニングと組み合わせて削除時のMFA認証を要求しますが、適切なMFAデバイスを持つアカウントからの削除を防げないため、規制要件の「誰も削除できない」には対応できません。