一個私有的 S3 儲存桶包含敏感資料。您必須擷取嘗試存取物件時失敗的身份驗證嘗試的 IP 位址，並以 90 天內無法更改或刪除的方式儲存這些日誌。哪種設計符合這些要求？

正確答案是啟用 S3 伺服器存取日誌並將其傳送到第二個 S3 儲存桶，然後在該目標儲存桶上啟用 S3 Object Lock 並設定 90 天的預設保留期。S3 伺服器存取日誌會記錄對 S3 儲存桶的請求，包括失敗的身份驗證嘗試及其來源 IP 位址。S3 Object Lock 確保日誌在指定期間內無法被更改或刪除，滿足不可變性的要求。 其他選項不符合所有要求： CloudTrail 記錄的是 API 呼叫，而不是所有物件存取嘗試，且 CloudWatch Logs 的保留期可以被修改。 將 CloudTrail 日誌寫入不同的 S3 儲存桶並啟用日誌檔案完整性驗證雖然提供不可變性，但 CloudTrail 主要記錄管理事件和資料事件（如果啟用），不一定包含所有失敗的物件存取嘗試。 S3 伺服器存取日誌傳送到 CloudWatch Logs 雖然可以記錄 IP 位址，但 CloudWatch Logs 的保留期可以被修改，不符合不可更改或刪除的要求。