한 회사에서 여러 AWS 계정으로의 연동을 위해 외부 자격 증명 공급자(IdP)를 사용합니다. 보안 엔지니어는 일주일 전 프로덕션 Amazon EC2 인스턴스를 종료한 연동 사용자가 누구인지 신속하게 파악해야 합니다. 사용자를 식별하는 가장 빠른 방법은 무엇입니까?

정답은 AWS CloudTrail 이벤트 기록을 사용하여 TerminateInstances 이벤트를 필터링하고, 관련된 IAM 역할을 식별한 다음, 해당 역할이 AssumeRoleWithSAML 이벤트를 통해 어떤 연동 사용자에 의해 가정되었는지 확인하는 것입니다. CloudTrail 이벤트 기록은 최근 90일간의 관리 이벤트를 빠르게 검색하고 필터링할 수 있는 가장 효율적인 방법입니다. 오답 설명: Amazon S3 버킷의 CloudTrail 로그를 직접 검토하는 것은 대량의 로그에서 특정 이벤트를 수동으로 찾는 비효율적인 방법입니다. IAM Access Advisor는 역할의 마지막 액세스 시간을 보여주지만, 특정 이벤트와 사용자 간의 직접적인 연결을 제공하지 않으므로 사용자를 식별하는 데 적합하지 않습니다. Amazon Athena를 사용하는 것은 S3에 저장된 CloudTrail 로그를 쿼리하는 강력한 방법이지만, 이벤트 기록을 직접 필터링하는 것보다 설정 및 쿼리 실행에 시간이 더 소요될 수 있습니다. 또한, 외부 자격 증명 공급자를 사용하는 경우 AssumeRoleWithSAML 이벤트를 찾아야 하며, AssumeRoleWithWebIdentity는 주로 웹 또는 모바일 애플리케이션에서 사용됩니다.