理解確認：CloudTrailによる監査設計

答え：C

セキュリティグループルール変更はAWSリソースの設定を変更する制御プレーン操作なので管理イベントです。

答え：A

オブジェクト-レベル APIアクティビティはCloudTrail データイベントです。

答え：D

イベント履歴は各リージョンの過去90日管理イベント確認用です。組織全体の長期監査には組織証跡と中央保管を設計します。

答え：B

組織証跡はOrganizations配下のメンバーアカウントへ一貫した証跡設定を適用し、新規追加アカウントも対象にできます。

答え：C

監査根拠をワークロード管理やセキュリティツール群の日常運用から分離するには専用ログアーカイブアカウントへの中央集約が適します。

答え：A

ログファイル完全性検証はダイジェストを利用して、配信後のCloudTrail ログファイルが変更・削除されたかを検証します。S3 Object Lock、S3 バージョニング、暗号化とは責任が異なります。

答え：B

ログファイル完全性検証は、配信後のCloudTrailログが変更・削除されたかを検証するための仕組みです。削除そのものを防ぐ不変保持や保持期間の強制とは責任が異なるため、要件に応じて別の保持制御を組み合わせます。

答え：B

データイベントは高ボリュームになり得るため、監査要件に必要なリソースへ対象を絞る設計が適切です。

答え：A

アカウント全体の監査では、すべての有効リージョンを記録するマルチリージョン証跡を基本候補にします。

答え：A / C / E

管理イベントは制御プレーン、データイベントはリソース内のデータプレーン運用です。データイベントはデフォルト記録ではなく、ボリュームを考慮して対象を選びます。

答え：B / D / E

組織全体の収集、中央保管、完全性検証を別々の責任として設計します。

答え：A

CloudTrailの委任管理者は組織証跡を管理できます。エンタープライズでは日常セキュリティ運用を専用アカウントへ分離する設計を評価できます。

答え：A

中央ログバケットを指定するだけでは配信権限は成立しません。CloudTrail サービスが組織ログを書き込めるバケットポリシーが必要です。

答え：B / C / E

CloudTrail イベント履歴は現在リージョンの過去90日管理イベントを確認する機能です。データイベントや組織全体の長期集約が必要なら証跡等を設計します。

答え：B / C / D / F

現在 CloudTrailには管理、データ、ネットワークアクティビティ、Insights イベントがあります。この教材ではアーキテクチャ判断の中心として管理とデータの使い分けを重点的に扱っています。