解説

S3 Object Lockのコンプライアンスモードは、保持期間中はAWSルートアカウントを含む一切の主体がオブジェクトの削除・変更・保持期間の変更を行えない最も厳格なWORM保護を提供します。削除操作はAPIレベルで拒否され、保持期間の短縮や保持モードのダウングレードも不可能です。SECのRule 17a-4やFINRAなどの金融規制が求める「管理者権限でも改ざん・削除不可」という要件に直接対応しており、第三者機関（Cohasset Associatesなど）による準拠評価でも広く認められています。なおObject Lockはバケット作成時に有効化する必要があり、後から有効化することはできない点に注意が必要です。 選択肢AのMFAデリートは削除操作の障壁を高めますが、認証さえ通れば削除が実行できるため「誰も削除できない」要件を満たしません。またライフサイクルポリシーの有効期限設定はオブジェクトを自動削除するためWORM要件に反します。 選択肢BのS3 Object Lockガバナンスモードは、s3:BypassGovernanceRetention権限を持つ管理者が保持設定を変更・無効化できるため、「ルートアカウントを含む誰もが削除できない」という要件を満たしません。 選択肢CのAmazon S3 Glacier Vault LockはGlacierボールト専用のWORM機能であり、S3バケットに保存されたオブジェクトには直接適用できません。S3バケット上でのWORM管理にはS3 Object Lockが必要です。