CloudTrail 已启用并将日志文件传送到 Amazon S3 存储桶。运维团队担心传送的日志文件在到达存储桶后可能会被篡改。今后，管理员如何验证单个 CloudTrail 日志文件在传送后未被修改？

正确答案是启用 CloudTrail 日志文件完整性验证，并使用摘要文件验证每个日志文件的哈希值。CloudTrail 日志文件完整性验证功能通过创建摘要文件来确保日志在传输后未被修改。这些摘要文件包含日志文件的哈希值，并使用数字签名进行加密，从而提供了一种可靠的方式来验证每个日志文件的完整性。 将 CloudTrail 事件流式传输到 CloudWatch Logs 可以提供日志的副本，但本身不能验证 S3 中原始日志文件的完整性。将 S3 存储桶复制到另一个区域并使用 S3 管理的密钥加密日志可以增强数据持久性和安全性，但不能直接验证日志文件在传输到 S3 后是否被篡改。为日志存储桶开启 S3 服务器访问日志记录可以记录对存储桶的访问请求，但不能验证存储在其中的日志文件的内容是否被修改。