1.1標準
特定S3バケットのGetObjectとDeleteObjectを監査する。
管理イベントだけでなく、オブジェクトレベルの操作を記録したい。
最も適切な設定はどれか。
× 不正解
CloudTrailデータイベントでS3オブジェクトレベルのAPI操作を監査する。
詳細解説
正しいCloudTrailのデータイベントで対象S3バケットの読み取り・書き込みを記録する
対象バケットのオブジェクトデータイベントを有効にし、GetObjectの読み取りとDeleteObjectの書き込みを記録する。
誤りCloudTrailの管理イベントだけを記録する
バケット設定などの管理操作は記録できるが、GetObjectやDeleteObjectのオブジェクト操作はデータイベントとして別途設定する。
誤りS3イベント通知だけでGetObjectとDeleteObjectを監査する
オブジェクト削除などの通知は設定できるが、GetObjectの読み取りを網羅する監査ログにはならない。
誤りS3のリクエストメトリクスだけを有効にする
集計された要求数やエラー数は監視できるが、操作ごとの呼び出し元を示す監査イベントではない。
公式資料で確認する
以下の項目を公式資料の記述と照合して確認します。
CloudTrail S3 data eventsの公式説明を確認する。
参考にした公式資料
確認できる内容
管理イベントとデータイベントの記録対象を区別できる。
理解のポイント
- CloudTrailデータイベント
- GetObject
- DeleteObject
確認時の注意
- 確認環境: AWS公式SOA-C03試験ガイドとAWS公式ドキュメントの確認
- AWS公式SOA-C03試験ガイドと各サービスの公式ドキュメントを確認する。
基礎のおさらい
管理イベントとデータイベント
バケット設定の変更と、保存データへのアクセスは記録対象が異なる。GetObject・DeleteObjectを監査するには、証跡またはイベントデータストアでS3オブジェクトのデータイベントを明示的に有効にする。
記録範囲を要件に合わせる
対象バケットを選び、読み取りと書き込みの両方を含める。データイベントには追加料金があるため、必要なら高度なイベントセレクターでeventNameも絞る。既定のイベント履歴だけではデータイベントを確認できない。
問題IDAWS-SOA-003
確認環境AWS公式SOA-C03試験ガイドとAWS公式ドキュメントの確認
最終技術確認2026-10-03
誤り・権利侵害を報告