Een bedrijf wil één S3-bucket voor data scientists om werkdocumenten op te slaan. Gebruikers authenticeren via AWS IAM Identity Center en de data scientists bevinden zich in een specifieke Identity Center-groep. Het bedrijf wil dat elke scientist alleen toegang heeft tot zijn eigen documenten en vereist maandelijkse rapporten die laten zien welke documenten elke gebruiker heeft geopend. Welke combinatie van stappen voldoet aan deze vereisten? (Kies twee.)

De eerste correcte optie voldoet aan de vereiste dat elke wetenschapper alleen toegang heeft tot zijn eigen documenten. Door een aangepaste IAM Identity Center permission set te maken die toegang verleent tot een S3-bucketprefix die overeenkomt met de gebruikersnaamtag, en een IAM-beleid te gebruiken met de voorwaarde ${aws:PrincipalTag/userName}/, wordt afgedwongen dat gebruikers alleen toegang hebben tot hun specifieke paden. De tweede correcte optie voldoet aan de vereiste voor maandelijkse toegangsrapporten. AWS CloudTrail logt S3-data-events (zoalsGetObject, PutObject), wat essentieel is voor het bijhouden van documenttoegang. Door deze logs naar een S3-bucket te leveren en Amazon Athena te gebruiken, kunnen complexe query's worden uitgevoerd om de benodigde rapporten te genereren. De optie om een IAM Identity Center-rol te maken met S3 lees- en schrijftoegang en een S3-bucketbeleid is onjuist omdat dit geen per-gebruiker isolatie van documenten afdwingt; alle gebruikers in die groep zouden toegang hebben tot elkaars documenten. Het configureren van CloudTrail voor management-events is onvoldoende, omdat management-events geen S3-data-events (objecttoegang) loggen. S3 access logging naar EMRFS en S3 Select is niet de meest gangbare of flexibele oplossing voor gedetailleerde rapportage en is niet specifiek ontworpen voor het bevragen van CloudTrail-logs.