金融機関のシステム管理者が、規制コンプライアンス要件として全バックアップデータを7年間にわたって変更・削除できないようにする必要があります。AWS Backupを使用してこの要件を満たす最適な設定はどれですか？
AWS Backup Vault Lockにはコンプライアンスモードとガバナンスモードの2種類があり、規制要件には前者が必要です。 選択肢Aは、AWS Backup VaultはS3バケットとは別のサービスであり、S3バケットポリシーを適用することはできません。バケットポリシーでのDeleteObject拒否はBackupのデータ保護の仕組みとは無関係であり、規制要件を満たしません。 選択肢Bは、Backup Vault Lockのコンプライアンスモードは有効化後72時間が経過するとAWSルートユーザーを含む誰も設定を変更・無効化できなくなります。保持期間内のバックアップ削除が完全に禁止され、7年間の変更・削除禁止（WORM）要件を確実に満たします。 選択肢Cは、ガバナンスモードはBackup管理者権限（backup:PutBackupVaultLockConfiguration）を持つユーザーが設定を変更・無効化できるため、「誰も変更できない」という規制要件を満たしません。計画的な管理には適しますが法的拘束力のある要件には不十分です。 選択肢Dは、KMSカスタマーマネージドキーによる暗号化はデータの機密性保護に有効ですが、バックアップの変更・削除を防止するVault Lockの機能とは異なります。キーローテーションの無効化もVault Lockの代替にはなりません。