ある企業では、AWS CodePipeline を使用して本番環境にアプリケーションの変更をデプロイする前にセキュリティ承認を義務付けており、その承認は記録および保持される必要があります。これらの要件を満たすアクションの組み合わせはどれですか？（2つ選択してください。）

セキュリティ承認を記録し保持するためには、AWS CloudTrail が最適です。CloudTrail はAWSアカウントのアクティビティを記録し、そのログをS3バケットに保存することで、監査証跡を提供します。これにより、誰がいつ承認を行ったかを確認できます。また、デプロイ前にセキュリティチームによる承認を必須にするには、CodePipeline の手動承認アクションが適切です。このアクションを追加し、承認に必要なIAM権限をセキュリティチームに付与することで、承認プロセスを強制できます。 CodePipelineがパイプラインアクションをCloudWatch LogsやS3に書き込む設定は、パイプラインの実行状況を監視するのには役立ちますが、承認行為自体の記録や監査証跡としては不十分です。Lambdaを呼び出すカスタムアクションは柔軟性がありますが、手動承認アクションの方が承認プロセスを直接的に実装でき、監査証跡はCloudTrailで補完するのが一般的です。