SCSデータ保護
ある証券会社が、規制当局の要件（SEC Rule 17a-4）に従い、取引記録をAmazon S3に7年間保持する必要があります。記録は書き込み後に変更・削除が一切できないWORM形式でなければならず、rootユーザーやアカウント管理者を含む誰もが保持期間中に削除できないことを監査で証明する必要があります。また、新規にアップロードされるオブジェクトには自動的にこの保持設定が適用されなければなりません。この要件を満たす構成はどれですか。
AS3 Object Lockをコンプライアンスモードで有効化し、バケットにデフォルト保持期間を7年に設定する。コンプライアンスモードではrootユーザーでも保持期間中はオブジェクトを上書き・削除できない。
✓ 正解
コンプライアンスモードのS3 Object Lockは、rootユーザーやアカウント管理者を含む誰もが保持期間中にオブジェクトを削除・上書きできない真のWORMを実現する。デフォルト保持期間を設定すれば新規オブジェクトに自動適用され、SEC 17a-4等の規制要件を満たす。
BS3 Object Lockをガバナンスモードで有効化し、デフォルト保持期間を7年に設定する。s3:BypassGovernanceRetention権限を持たないユーザーは保持期間中の削除ができない。
ガバナンスモードはs3:BypassGovernanceRetention権限を持つ管理者が保持設定を解除して削除できるため、rootや管理者でも削除不可という要件を満たせない。WORMの厳格性がコンプライアンスモードに劣る。
CバケットポリシーとIAMポリシーでs3:DeleteObjectおよびs3:PutObjectを明示的にDenyし、AWS CloudTrailで削除操作を7年間監査ログとして記録して削除の証跡を残す。
バケットポリシーやIAMポリシーによるDenyは、権限を持つ管理者がポリシー自体を変更すれば無効化できるため、誰も削除できないことを保証できない。CloudTrailは監査記録であり削除を物理的に防止しない。
DS3 Glacier Vault Lockでボールトロックポリシーを作成し、7年間の保持期間(retention)を指定してポリシーをロックする。ロック後はボールトロックポリシー自体の変更・削除ができなくなり不変となる。
Glacier Vault Lockは不変のWORMを実現するが、対象はS3バケットではなくGlacierボールトであり、標準のS3にアップロードされるオブジェクトへ自動適用されない。要件のS3保存・自動適用に合致しない。
解説
S3 Object Lockのコンプライアンスモードは、設定した保持期間中はrootユーザーやアカウント管理者を含む誰もオブジェクトの削除・上書きができない厳格なWORMを提供し、SEC Rule 17a-4のような規制に対応する。バケットにデフォルト保持期間を設定すれば新規オブジェクトへ自動適用される。
選択肢のガバナンスモードは特権ユーザーが保持を解除でき要件に不十分。
選択肢のポリシーDenyは管理者がポリシー変更で無効化可能。
選択肢のGlacier Vault LockはS3にアップロードされるオブジェクトへ自動適用されない。
ドメイン別正答率・予想スコアでリアルタイムに実力把握
無限ノックでSCSを徹底対策。全問AI生成のオリジナル問題。
無料で演習を始める →