AWS ソリューションアーキテクト プロフェッショナル多アカウントの統制と証跡オリジナル・公式資料照合難易度
S3の読取り事故が起きた後でGetObjectのCloudTrailデータイベントを初めて有効にした。他のアクセス記録は残っていない。有効化前の全GetObjectを特定できるか。
A
証跡のイベントセレクターを過去時刻に合わせれば未記録の読取りも再取得できる
セレクターを変えても、有効化前に収集していないデータイベントを生成できない。
B
できない。今後の記録を確保し、過去については残存する別証跡の範囲で調査する★ 正解
データイベントは設定対象を記録する仕組みであり、有効化前の未記録操作を後から生成しない。不明点を断定しない。
C
できる。管理イベントには過去のGetObjectも常に全件含まれる
管理イベントとS3オブジェクトのデータイベントは別である。
D
事故後のオブジェクトのLastModifiedだけで、過去の全読取者を特定できる
更新時刻は読取りの主体や履歴をすべて保持する監査情報ではない。
解説
データイベントは設定対象を記録する仕組みであり、有効化前の未記録操作を後から生成しない。不明点を断定しない。
根拠資料・確認情報
対応範囲：SAP-C02
資料確認日：2026-11-02
アプリ内の初回回答データ
回答データを読み込んでいます。
同じレッスンの問題
問題 1
SCPでaws:RequestedRegionが東京以外の要求をDenyすると、通常の業務で必要なIAM操作まで失敗した。リージョン制限の設計で必要な見直しはどれか。
問題 2
OrganizationsのタグポリシーでCostCenterの表記と許容値を定義し、対応リソースの強制を有効化した。タグなしリソースの作成も全件拒否できるという説明は正しいか。
問題 3
あるAWSサービスの委任管理者をメンバーアカウントに登録した。担当者は、これでOrganizationsのすべてのポリシーを自由に変更できると考えている。適切な説明はどれか。
問題 4
StackSetsで多数アカウントへ更新中に失敗許容数へ達して処理が停止した。一部のスタックは更新済みである。次の対応として適切なのはどれか。