セキュリティチームは、組織内のすべてのS3バケットでブロックパブリックアクセス設定が有効になっているかを継続的に監視し、非準拠なバケットが検出されたら即座に自動修復したいと考えています。 手動介入を最小化するために最も適切なサービスの組み合わせはどれですか？
AWS Configはリソース設定の継続的な評価と自動修復を単一サービスで完結できます。マネージドルール「s3-bucket-level-public-access-prohibited」はバケットレベルのBlock Public Access設定が有効かどうかを直接チェックし、非準拠リソースに対してSSM Automationドキュメントを自動修復アクションとして直接紐付けられます。 選択肢AのAmazon Macieを使ってS3バケット設定を継続的にスキャンし、非準拠検出時にEventBridgeからLambdaを起動してブロックパブリックアクセスを有効化する はMacieはS3内のデータ分類・機密情報検出に特化しており、バケット設定の監査・修復には適していません。 選択肢CのAWS Security Hubの標準チェックでS3設定を監視し、Findingを起点にLambdaで修復スクリプトを実行する はSecurity HubはGuardDutyやConfigなど複数サービスのFindingを集約・可視化するサービスですが、設定準拠ルールの定義や自動修復アクションの直接紐付け機能はなく、修復のためには別途Lambdaの実装が必要です。 選択肢DのCloudTrailでS3バケット設定変更イベントをキャプチャし、EventBridgeでLambdaを起動してパブリックアクセス設定を上書きする はCloudTrailはAPI呼び出しの記録であり、設定の継続評価には向きません。