프라이빗 S3 버킷에 중요한 데이터가 포함되어 있습니다. 객체에 액세스하려는 인증 실패 시도에서 IP 주소를 캡처하고, 해당 로그를 90일 동안 변경하거나 삭제할 수 없는 방식으로 저장해야 합니다. 어떤 설계가 이러한 요구 사항을 충족합니까?

정답은 S3 서버 액세스 로깅을 활성화하여 로그를 두 번째 S3 버킷으로 전달하고, 해당 대상 버킷에서 S3 Object Lock을 활성화하며 기본 보존 기간을 90일로 구성하는 것입니다. S3 서버 액세스 로깅은 S3 버킷에 대한 모든 요청을 기록하여 인증 실패 시도에 대한 IP 주소를 포함한 상세 정보를 캡처합니다. 이 로그를 별도의 S3 버킷에 저장하고 S3 Object Lock을 사용하여 WORM(Write Once Read Many) 모델을 적용하면 90일 동안 로그를 변경하거나 삭제할 수 없게 됩니다. 오답 설명: CloudTrail은 AWS API 호출을 기록하지만, S3 객체에 대한 직접적인 액세스 시도(인증 실패 포함)는 S3 서버 액세스 로깅이 더 적합합니다. 또한 CloudWatch Logs의 보존 기간 설정만으로는 로그의 불변성을 보장하지 못합니다. CloudTrail 로그 파일 무결성 검증은 로그가 변경되지 않았음을 확인하지만, 로그 자체를 삭제할 수 없도록 강제하지는 않습니다. S3 서버 액세스 로깅을 CloudWatch Logs로 보내는 것은 로그를 캡처하지만, CloudWatch Logs는 S3 Object Lock과 같은 불변성 기능을 제공하지 않으므로 90일 동안 변경 또는 삭제할 수 없다는 요구 사항을 충족하지 못합니다.