ある企業は、セキュリティインシデント発生時の調査に使用するAmazon S3バケット（CloudTrailログ・VPC Flow Logs・GuardDutyエクスポートデータを格納）を設計しています。要件として「① 攻撃者による証拠の改ざん・削除を防ぐ、 ② 規制要件として5年間は削除不可にする、 ③ AWSのrootユーザーを含むいかなる管理者でも保持期間中は削除できないこと」が求められます。最も適切な設定はどれですか？
S3 Object LockのComplianceモードは、設定された保持期間中、AWSのrootユーザーを含むいかなるユーザーもオブジェクトの削除・保持期間の変更・ロックモードの変更ができないWORM（Write Once Read Many）保護を提供します。これはSEC Rule 17a-4(f)などの規制要件に準拠した最も厳格な改ざん防止機能です。Object Lockを有効化するとバージョニングも自動的に有効化されます。 選択肢AのMFADeleteはオブジェクトバージョンの削除にMFA認証を要求しますが、MFAデバイスを所持するrootユーザーや強い権限を持つ管理者は最終的に削除可能で、規制上の削除不可要件を完全には満たしません。 選択肢CのGovernanceモードは特定のIAM権限（s3:BypassGovernanceRetention）を付与されたユーザーが保持期間の短縮や削除を実行できるため、「rootを含むいかなる管理者も削除不可」という要件を満たしません。 選択肢DのAWS Backup Vault Lock（Complianceモード）はバックアップ保管庫のリカバリポイントを保護しますが、元のS3バケット内のログオブジェクトそのものをWORM保護するものではなく、バックアップコピーの保護にとどまります。