本番環境のAWSアカウントは、セキュリティログをCloudWatch Logsに保存しています。別のセキュリティAWSアカウントが、それらのログを保存および分析のために受け取ります。会社は、Amazon Kinesis Data Streamsを使用して、本番環境アカウントからセキュリティアカウントにCloudWatch Logsを配信する必要があります。この要件を満たすアプローチはどれですか？

このアプローチが正しいのは、Kinesis Data Streamをセキュリティアカウントに作成することで、セキュリティチームが一元的にログを管理・分析できるためです。CloudWatch LogsがKinesis Data Streamにデータを送信できるように、IAMロールと信頼ポリシーはセキュリティアカウントで設定され、適切な権限を付与します。そして、本番環境アカウントのCloudWatch LogsがこのKinesis Data Streamにログを転送するために、サブスクリプションフィルターを本番環境アカウントに作成します。これにより、クロスアカウントでのセキュアなログ転送が実現します。 他の選択肢は、Kinesis Data Streamの作成場所やIAMロールの設定、サブスクリプションフィルターの場所が不適切であり、セキュアなクロスアカウントログ転送の要件を満たしません。例えば、本番環境アカウントにKinesis Data Streamを作成すると、セキュリティアカウントからのアクセス管理が複雑になります。