SAAセキュアなアーキテクチャの設計
ある企業のセキュリティチームは、AWSアカウント内のすべてのAPIコール履歴を90日間保持し、改ざんを防ぎながら監査目的で利用したいと考えています。最も適切な構成はどれですか？
ACloudTrailを有効化してS3バケットに証跡を保存し、S3オブジェクトロックを有効にする
✓ 正解
CloudTrailはAWSアカウントの全APIコールを記録します。証跡をS3に保存しS3オブジェクトロック（WORM）を有効化することで改ざん・削除を防ぎつつ監査証跡を保持でき、要件を満たします。
BVPCフローログをCloudWatch Logsに送信して90日間のログ保持ポリシーを設定する
VPCフローログはネットワークトラフィック情報のみを記録し、APIコールの詳細な履歴は含まないため、API監査の要件を満たすことができません。
CAWS Configを有効化してリソースの変更履歴をS3に保存する
AWS Configはリソースの設定変更履歴を追跡しますが、すべてのAPIコール履歴の記録には対応しておらず、本要件を満たせません。
DCloudWatchアラームを設定してすべてのAPIエラーをSNSで通知する
CloudWatchアラームはAPIエラーをリアルタイムに通知する機能であり、APIコール履歴を長期保存して監査する用途には使用しません。
解説
CloudTrailはAWSアカウントのすべてのAPIコールを記録するサービスです。証跡をS3バケットに保存し、S3オブジェクトロック（WORM: Write Once Read Many）を有効にすることで、ログの改ざん・削除を防ぎながら監査証跡を維持できます。これはセキュリティ監査のベストプラクティスです。
選択肢B（VPCフローログ）はネットワークトラフィック情報のみを記録し、APIコールの詳細は含みません。
選択肢C（AWS Config）はAWSリソースの設定変更を追跡しますが、全APIコール履歴の記録には対応していません。
選択肢D（CloudWatchアラーム）はリアルタイムの通知機能であり、APIコール履歴の保存・監査には使用しません。
ドメイン別正答率・予想スコアでリアルタイムに実力把握
無限ノックでSAAを徹底対策。全問AI生成のオリジナル問題。
無料で演習を始める →