解説

S3 Object LockのComplianceモードは、保持期間中はAWSアカウントのルートユーザーを含む誰もオブジェクトを削除・上書きできない完全なWORM（Write Once, Read Many）ストレージを実現します。SEC規則17a-4のような規制コンプライアンスに対応しており、保持期間の短縮や保護の解除も不可能です。S3バージョニングを有効にすることでObject Lockが機能し、CloudTrailによるオブジェクトレベルのAPI記録で監査証跡を確保できます。 選択肢AのS3 Object Lock Governanceモードは、s3:BypassGovernanceRetentionパーミッションを持つ管理者が保持期間中でもオブジェクトを削除できるため、「ルートユーザーを含む誰も削除できない」という規制要件を満たしません。 選択肢CのS3バケットポリシーは、ルートユーザーや管理者によるポリシー変更・削除によって回避可能であり、規制コンプライアンスとして法的拘束力のあるWORMとは認められません。 選択肢DのGlacier Vault LockはAmazon Glacierのストレージに対して適用されるポリシーであり、S3バケットに保存したオブジェクトを直接保護するものではありません。