金融規制当局からCloudTrailログを7年間にわたり改ざん・削除不能な形式（WORM：Write Once Read Many）で保存するよう要求された。現在CloudTrailはS3バケットにログを配信している。コ

Question

金融規制当局からCloudTrailログを7年間にわたり改ざん・削除不能な形式（WORM：Write Once Read Many）で保存するよう要求された。現在CloudTrailはS3バケットにログを配信している。コストを最小化しながら規制要件を満たす構成はどれか。

Accepted Answer

正解: S3 Object LockをCompliance modeで有効化し、7年間の保持期間（Retention Period）を設定する。S3 Object LockのCompliance modeは、管理者・ルートアカウントを含む一切のユーザーが保持期間中のオブジェクトを削除・上書き不可能にする最強のWORM保証です。

選択肢AのMFA Deleteは、バケット所有者の誤削除防止機能であり、規制上のWORM要件を満たしません。

選択肢CのGlacier Vault Lockは、Amazon S3 GlacierのVault専用機能であり、既存のS3バケットへのCloudTrail配信構成をVaultベースの別サービスへ移行する必要があるため構成が複雑になります。

選択肢DのCloudTrail Lakeは、機能的に要件を満たしますが、S3 Object Lockより大幅にコストが高いです。

Answer

S3バケットにMFA Delete（多要素認証による削除保護）を有効化し、すべてのオブジェクトにバージョニングを設定してルートアカウントでのみ削除可能にする — MFA Deleteはバケット所有者による誤ったバージョン削除を防ぐ機能で多要素認証を要求しますが、ルートアカウントは依然削除可能であり、規制が求める改ざん・削除不能なWORM要件を満たしません。

Answer

CloudTrail Log File Validationを有効化し、S3ライフサイクルポリシーでGlacier Deep Archiveに移行後にS3 Glacier Vault Lockで削除禁止ポリシーを適用する — Glacier Vault LockはS3 Glacier Vault専用機能で、既存のS3バケットへのCloudTrail配信をVaultベースの別構成へ移行する必要があり、要件は満たせても構成が複雑でコストと運用負荷が増えます。

Answer

CloudTrail Lakeのイベントデータストアを作成してイベントを送信し、保持期間を2557日（7年）に設定する — CloudTrail Lakeは検索・分析向けのマネージドストアで最大2557日保持できますが、WORMによる改ざん・削除不能性を保証する仕組みではなく、規制が求める不変性要件を満たしません。

解説