ある金融機関のデータエンジニアリングチームは、Amazon S3 上に構築したデータレイクに格納された機密ファイルへのアクセス履歴を監査するよう、コンプライアンス部門から要求されました。「誰が、いつ、どの S3 オブジェクトにアクセスしたか」を IAM プリンシパル情報とともに確実に記録するために最も適切な設定はどれですか？
AWS CloudTrail のトレイルで「データイベント（Data events）」を有効化し、監査対象の S3 バケットを指定する。`GetObject`・`PutObject`・`DeleteObject` などのオブジェクトレベル API が IAM プリンシパル情報とともに記録される。 CloudTrail のデータイベントは S3 オブジェクトレベルの API コール（GetObject / PutObject / DeleteObject 等）を記録します。リクエストを行った IAM プリンシパル（ユーザー・ロール）、タイムスタンプ、アクセス先 S3 オブジェクトが明確に記録されるため、コンプライアンス監査要件を満たします。 選択肢Aは管理イベントは S3 バケットの作成・削除・バケットポリシー変更などコントロールプレーンの操作を記録しますが、オブジェクトへの個別アクセス（GetObject 等のデータプレーン操作）は記録されません。 選択肢Cはサーバーアクセスログもアクセスを記録できますが、ベストエフォート型配信（数時間の遅延が発生する場合あり）であり、IAM プリンシパルの特定が難しいケースもあるため、厳格なコンプライアンス監査には CloudTrail データイベントが適切です。 選択肢Dは Amazon Macie は S3 内の機密データを自動検出・分類するサービスです。誰がいつ特定のオブジェクトにアクセスしたかという詳細な履歴を記録する監査ログの用途には対応していません。