AWS Certified Solutions Architect Associate（SAA-C03） 練習問題 46：オブジェクトストレージのデータ不変性管理
コンプライアンス要件により、Amazon S3に保存された監査ログデータが一定期間、誰によっても削除・上書きされないことを保証する必要があります。この要件を満たすための機能として、正しい説明はどれか。
- 「S3 Versioning」を有効にすることで、過去のバージョンの削除がシステム全体で完全に禁止され、指定した期間のデータ保存が強力に強制される。
- 「S3 Object Lock」のコンプライアンスモードを使用することで、指定した保持期間中はAWSのルートユーザーであってもデータの削除や上書きが一切できなくなる。
- 「S3 Glacier Vault Lock」を適用することで、S3バケットの標準ストレージクラスにある全データが暗号化され、自動的に削除や変更が完全にブロックされる。
- 「S3 Bucket Policies」に拒否ルールを記述することで、AWSアカウントの最上位の管理ユーザーを含め、すべてのユーザーによる削除操作が恒久的にブロックされる。
- 「S3 Intelligent-Tiering」を利用することで、アクセス頻度に応じてデータが移動され、アーカイブ層に移動したデータは一定期間自動的に削除不可状態になる。
正解と解説を見る
Amazon S3に保存されたデータが一定期間、誰によっても削除・上書きされないことを保証するためには、S3 Object Lockのコンプライアンスモードを使用するのが正解です。
【正解の理由】
S3 Object Lockは、Write-Once-Read-Many (WORM: 一度書き込むと何度でも読み出し可能だが変更不可という意味) モデルを使用してオブジェクトを保存する機能です。コンプライアンスモードを使用すると、保持期間が経過するまで、AWSアカウントのルートユーザーを含め、いかなるユーザーもそのオブジェクトを削除したり上書きしたりすることが一切できなくなり、厳格な監査要件を満たすことができます。
【不正解の理由】
• 「S3 Versioningを有効にすることで〜強力に強制される」という説明は誤り。バージョニングは誤操作による上書き・削除から復元可能にする機能ですが、ユーザーが意図的に特定のバージョンを完全に削除することを防ぐ機能ではありません。
• 「S3 Glacier Vault Lockを適用することで〜完全にブロックされる」という説明は誤り。Glacier Vault LockはS3 Glacierのボールト（保管庫）に対してWORMポリシーを適用するものであり、S3標準ストレージクラスのデータに直接適用するものではありません。
• 「S3 Bucket Policiesに拒否ルールを記述することで〜恒久的にブロックされる」という説明は誤り。バケットポリシーはルートユーザーなどの強力な権限を持つユーザーによって変更や削除が可能であるため、完全な不変性を保証できません。
• 「S3 Intelligent-Tieringを利用することで〜一定期間自動的に削除不可状態になる」という説明は誤り。S3 Intelligent-Tieringはアクセス頻度に応じて階層を自動移動してコストを最適化する機能であり、データの削除をブロックする機能はありません。