解説

AWS Backup Vault Lock はバックアップボールトに WORM（Write Once Read Many）ポリシーを適用する機能です。コンプライアンスモードで設定すると、72時間のクールオフ期間終了後は設定自体の変更・削除もできなくなります。AWSルートユーザーを含むいかなるプリンシパルも、指定した最小保持期間内は回復ポイントを削除できないことがサービスレベルで保証されます。 選択肢Bのリソースベースポリシーは、ポリシー自体を管理者が変更・削除できるため、管理者の認証情報が漏洩した際にバイパスされるリスクがあります。 選択肢CのSCPはメンバーアカウントのIAMエンティティには有効ですが、管理アカウント自体とAWSルートユーザーにはSCPが適用されないため、保護が不完全です。 選択肢DのPermissions Boundaryは管理者ロールの最大権限を制限しますが、ルートユーザーや権限境界を持たない他のプリンシパルには適用されず、削除の完全防止にはなりません。