Приватный бакет S3 содержит конфиденциальные данные. Вам необходимо фиксировать IP-адреса неудачных попыток аутентификации при доступе к объектам и хранить эти логи таким образом, чтобы их нельзя было изменить или удалить в течение 90 дней. Какой дизайн соответствует этим требованиям?

Правильный ответ — включить S3 server access logging для доставки логов во второй бакет S3 и настроить S3 Object Lock на 90 дней. S3 server access logging фиксирует все запросы к бакету, включая неудачные попытки аутентификации, и записывает IP-адреса. S3 Object Lock обеспечивает неизменяемость логов, предотвращая их удаление или изменение в течение заданного периода, что соответствует требованию о невозможности изменения или удаления в течение 90 дней. Остальные варианты не подходят: CloudTrail отслеживает вызовы API к S3, но не фиксирует все попытки доступа к объектам, включая неудачные аутентификации, которые не являются вызовами API. Отправка логов в CloudWatch Logs не гарантирует неизменяемость, так как срок хранения можно изменить, и нет механизма предотвращения удаления. CloudTrail с проверкой целостности файлов логов обеспечивает неизменяемость, но, как и в первом случае, CloudTrail не фиксирует все попытки доступа к объектам.