某公司將在 Amazon EC2 實例上處理敏感資料，並使用 Amazon CloudWatch Logs 收集、儲存和存取日誌檔案，以供開發人員進行故障排除。安全工程師必須防止開發人員查看日誌中的敏感資料，並且該控制必須自動應用於所有新的日誌群組。哪種解決方案能滿足這些要求？

正確答案是建立 CloudWatch Logs 帳戶範圍的資料保護政策，並指定適當的資料識別碼，同時確保開發人員沒有 logs:Unmask IAM 權限。CloudWatch Logs 資料保護政策允許自動偵測和遮罩敏感資料。帳戶範圍的政策能確保所有新的日誌群組都會自動套用此控制，滿足自動化的要求。移除 logs:Unmask 權限可防止開發人員查看被遮罩的敏感資料。 將資料匯出到 S3 並使用 Macie 雖然能偵測敏感資料，但這會增加複雜性，且開發人員仍可能在日誌匯出前看到原始資料，不符合即時保護的要求。此外，為每個日誌群組手動建立政策不符合自動化要求。