無限ノック › SCS 練習問題一覧 › 問題SCS データ保護
ある金融サービス企業が、証券取引の監査ログをAmazon S3に保存しています。米国SEC規則17a-4（f）に準拠するため、記録は3年間、一切の上書き・削除が不可能なWORM（Write Once Read Many）形式で保管する必要があります。AWSアカウントのルートユーザーを含むいかなる管理者も、保持期間中はオブジェクトを変更・削除できないことが必須要件です。この要件を満たすS3の設定として最も適切なものはどれですか？
A S3 Object LockをComplianceモードで有効化し、保持期間を3年に設定してすべてのオブジェクトに適用する
✓ 正解
S3 Object Lock Complianceモードは保持期間中にルートユーザーを含む全ユーザーによる削除・上書き・保持期間の短縮を禁止し、モード変更も不可能です。SEC規則17a-4（f）のWORM要件を完全に満たす最も適切な選択肢です。
B S3 Object LockをGovernanceモードで有効化し、保持期間を3年に設定してすべてのオブジェクトに適用する
GovernanceモードではIAMポリシーでs3:BypassGovernanceRetention権限を付与された特権ユーザーが保持期間をバイパスして削除できます。管理者も含め誰も削除できないことを求める要件に対しては不十分です。
C S3バージョニングとMFA Deleteを有効化し、バケットポリシーでDELETE操作を全ユーザーに対して明示的に拒否してWORM相当の保護を実現する
バケットポリシーによるDELETE拒否はアカウントオーナーやルートユーザーが後からポリシーを変更・削除できるため、改ざん不可能性を保証できません。S3 Object Lockのような真のWORM保護にはなりません。
D Amazon S3 Glacier Vault Lockポリシーに削除禁止条件を定義してLocked状態に移行し、監査ログを改ざん不可能な形式で3年間保持する
S3 Glacier Vault Lockは旧来のAmazon S3 GlacierサービスのVaultに対するアクセスコントロール機能であり、S3バケットのオブジェクトには適用できません。S3 Object Lockとは別のサービスの機能です。
解説 S3 Object LockのComplianceモードは、保持期間中はAWSアカウントのルートユーザーを含むいかなるユーザーもオブジェクトの削除・上書き・保持期間の短縮ができない、最も厳格なWORM保護を提供します。保持モード自体をComplianceからGovernanceへ変更することも不可能であり、SEC規則17a-4（f）をはじめとする金融規制のWORM要件に正式対応しています。バケット作成時にObject Lockを有効化し、デフォルト保持ポリシーで3年を設定することで全オブジェクトに自動適用されます。
選択肢BのGovernanceモードは、s3:BypassGovernanceRetention権限を持つ特権ユーザーが保持期間をバイパスして削除できるため、誰も削除できないことを求めるSEC規則の厳格な要件を満たしません。
選択肢CのS3バージョニングとMFA Delete、バケットポリシーの組み合わせは、バケットポリシー自体をアカウントオーナーが変更できるため真の改ざん不可能性を保証できず、規制上のWORM要件には不十分です。
選択肢DのAmazon S3 Glacier Vault Lockは、旧来のS3 GlacierサービスのVaultに適用されるものであり、S3バケット上の監査ログには直接適用できません。
ドメイン別正答率・予想スコアでリアルタイムに実力把握
無限ノックでSCSを徹底対策。全問AI生成のオリジナル問題。
無料で演習を始める →