SCS-C03：AWS Certified Security - Specialty データ保護 問3
データ保護／保管データの保護バックアップとして Amazon S3 に保存するオブジェクトを、定められた保持期間中は、管理者や root ユーザーであっても削除・上書きできないようにして、ランサムウェアや誤操作から保護したいと考えています。最も適切なのはどれですか。
当サイトのオリジナル問題（SCS-C03：AWS Certified Security - Specialtyの出題範囲「データ保護」に対応。実際の試験問題ではありません）
- Aバージョニングだけを有効化する
- Bライフサイクルポリシーで古いオブジェクトを自動削除する
- Cバケットポリシーで特定ユーザーの削除操作だけを拒否する
- DS3 Object Lock（コンプライアンスモード）で WORM を適用し、保持期間中は誰も（root を含む）削除・上書きできないようにする
正解：D
解説
S3 Object Lock は WORM（Write Once Read Many）を実現する機能で、コンプライアンスモードを使うと、保持期間が満了するまでは誰も（root ユーザーを含む）オブジェクトのバージョンを削除・上書きできません。これによりランサムウェアや誤操作からバックアップを保護できます。バージョニング単体やバケットポリシーは設定変更や削除が可能で、ライフサイクルはむしろ削除を自動化します。
下線の用語は 用語集 で意味を確認できます。
選択肢ごとの解説
- A誤り。バージョニングだけでは、権限を持つ主体がバージョンを削除でき、不変性を保証できません。
- B誤り。ライフサイクルポリシーはオブジェクトの自動削除・移行が目的で、保護とは逆方向です。
- C誤り。バケットポリシーは変更可能で、root ユーザーを含む完全な削除禁止は保証できません。
- D正しい。S3 Object Lock のコンプライアンスモードなら、保持期間中は root を含めて削除・上書きできません。