ある会社が、Amazon S3 マネージドキー (SSE-S3) を使用したサーバー側の暗号化で暗号化された Amazon S3 バケットに機密データを保存しています。セキュリティエンジニアは、オブジェクトへの変更を防止する必要があります。この要件を満たすソリューションはどれですか？

S3 Object LockをComplianceモードで有効にし、S3バケットのバージョニングをオンにすることで、指定された保持期間が経過するまで、またはリーガルホールドが解除されるまで、オブジェクトが上書きまたは削除されるのを防ぐことができます。これは、不変性を保証する最も強力な方法です。 S3バケットポリシーでs3:DeleteObjectとs3:PutObjectを明示的に拒否する方法は、意図しない変更を防ぐのに役立ちますが、ルートユーザーや特定の権限を持つユーザーはポリシーをバイパスできる可能性があります。AWS KMSのカスタマーマネージドキー (SSE-KMS) に変更しても、オブジェクトの不変性には直接関係ありません。MFA削除は、オブジェクトの削除に追加のセキュリティ層を追加しますが、オブジェクトの変更や上書きを防ぐものではありません。