S3オブジェクト操作を監査する

認証、ネットワーク境界、暗号鍵、監査の役割を分けて考える。

CloudTrailのデータイベントで対象S3バケットを記録する

CloudTrailデータイベントはS3オブジェクトレベルのAPI操作を記録できる。

CloudWatch CPUメトリクスだけを有効にする

CPUメトリクスはS3オブジェクト操作の主体やAPIを記録しない。

Route 53のDNSクエリログでS3操作を記録する

DNSログは名前解決の記録で、S3 API操作の監査ではない。

S3 Lifecycleの削除履歴だけを参照する

Lifecycle履歴は全操作の主体とAPI監査を提供しない。

AWS CloudTrail

AWS API操作を記録する監査サービス。

データイベント

S3オブジェクト操作など、リソースレベルのイベント。