DEA-C01：AWS Certified Data Engineer - Associate データセキュリティとガバナンス 問4
データセキュリティとガバナンス／監査用ログの準備データ基盤に対して、誰がいつどの AWS API 操作を行ったかを監査証跡として記録し、後から中央で検索・分析できるようにしたいと考えています。最も適切なのはどれですか。
当サイトのオリジナル問題（DEA-C01：AWS Certified Data Engineer - Associateの出題範囲「データセキュリティとガバナンス」に対応。実際の試験問題ではありません）
- AAmazon CloudWatch のメトリクスだけで API 操作者を記録する
- BVPC フローログで API 操作者を記録する
- CAWS CloudTrail で API コールを記録し、CloudTrail Lake や Athena で中央から検索・分析する
- DAmazon Macie で API 操作の監査証跡を取得する
正解：C
解説
AWS CloudTrail は、誰がいつどの AWS API 操作を行ったかを監査証跡として記録します。CloudTrail Lake を使えばイベントを中央に集約して SQL で検索・分析でき、S3 に保存したログを Athena で分析することもできます。CloudWatch メトリクスや VPC フローログは API 操作者の記録ではなく、Macie は機密データ検出が目的です。
下線の用語は 用語集 で意味を確認できます。
選択肢ごとの解説
- A誤り。CloudWatch のメトリクスは数値指標で、API 操作者の監査証跡にはなりません。
- B誤り。VPC フローログはネットワークトラフィックの記録で、API 操作の監査ではありません。
- C正しい。CloudTrail で API コールを記録し、CloudTrail Lake や Athena で中央から検索・分析できます。
- D誤り。Macie は S3 の機密データ検出が目的で、API 操作の監査証跡は取得しません。