ある金融企業は、プライベートサブネット内のEC2インスタンスからNATゲートウェイ経由でAmazon S3上の機密データにアクセスしています。セキュリティ監査の結果、以下の要件が定義されました。 ・S3へのアクセスがパブリックインターネットを経由しないこと ・侵害されたインスタンスが攻撃者の管理する外部AWSアカウントのS3バケットにデータを持ち出すことを防ぐこと ・すべてのS3 APIコールをAPIレベルで監査記録すること 最も適切な実装はどれですか？
S3ゲートウェイ型VPCエンドポイントはトラフィックをAWSプライベートネットワーク内に保持し（無料）、インターネット経由を排除します。エンドポイントポリシーでエンドポイントを通過する通信の宛先リソースARNを制限することで、攻撃者管理の他アカウントS3バケットへのデータ持ち出しをネットワークレベルで防止できます。CloudTrailデータイベントはAPIコールを詳細に記録します。 選択肢Bのバケットポリシーのaws:SourceVpce条件は「自社バケットへのアクセス元」を制限するものであり、他アカウントのバケットへの持ち出しは防止できません。S3サーバーアクセスログはCloudTrailデータイベントより詳細度が低いです。 選択肢CのNATゲートウェイを継続使用するためインターネット経由が残ります。またS3のIPアドレス範囲は動的に変化するため信頼性が低く、運用負荷も高くなります。 選択肢Dは、S3インターフェイス型エンドポイントも技術的には有効ですが時間課金とデータ転送費用が発生します。また、バケットポリシーのaws:SourceVpce条件は宛先バケットではなくアクセス元を制限するため、他アカウントへの持ち出し防止にはエンドポイントポリシーが必要であり、この構成では不十分です。