CLF-013
AWS CloudTrailの主な用途として最も適切なものはどれですか？
選択肢
解説と正解
解説と正解を読む（先に自分で回答してから開くのがおすすめです）
正解：C. AWSアカウント内のAPI操作履歴を記録する
解説
CloudTrailは、AWSアカウント内で実行されたAPI操作やユーザーアクティビティを記録し、監査に利用できます。
選択肢ごとの解説
A. DNS名前解決を提供する
誤りです。DNSはRoute 53です。
B. NoSQLデータベースを提供する
誤りです。NoSQLデータベースはDynamoDBです。
C. AWSアカウント内のAPI操作履歴を記録する
正解です。CloudTrailは操作履歴の記録と監査に使います。
D. 静的Webサイトを配信する
誤りです。静的配信にはS3やCloudFrontを使います。
実務での使いどころ
AWS CloudTrail は、AWS アカウント内で発生した API 呼び出しや管理イベントを記録し、 誰がいつどのリソースに対してどの操作を実行したかを追跡可能にするサービスである。 マネジメントコンソール、AWS CLI、AWS SDK、AWS サービス間の自動呼び出しなど、API を 経由するあらゆる操作が記録対象となる。各イベントには操作元の IAM プリンシパル （ユーザー名・ロール名）、ソース IP アドレス、リクエストパラメータ、レスポンスが 含まれ、セキュリティインシデントの調査、コンプライアンス監査、運用変更の原因追跡で 中核的な役割を果たす。 CloudTrail には大きく 2 つの利用形態がある。1 つは「イベント履歴」で、追加設定なしで 過去 90 日間の管理イベントをコンソールから検索でき、緊急時の初動調査に使われる。 もう 1 つは「証跡（Trail）」で、組織やアカウント単位で長期保存用に S3 バケットへ 継続的にログを書き出す設定であり、コンプライアンス要件で長期保管が求められる本番 環境では必須となる。データイベント（S3 オブジェクトレベルの操作、Lambda 関数呼び出し など）はデフォルトでは記録されず、別途有効化が必要である点も実務上の重要ポイント となる。 CLF-C02 では、「AWS アカウント内の API 操作履歴を記録するサービスは何か」「監査 ログを取得するサービスは何か」という形で問われる。誤答として S3 / CloudFront（静的 配信）、DynamoDB（NoSQL）、Route 53（DNS）といった用途が異なるサービスを当て込んで くる。CloudWatch（メトリクスとログ監視）/ AWS Config（リソース設定状態の評価）と 混同しやすいが、CloudTrail は「API 呼び出しの記録」、CloudWatch は「メトリクスと アプリケーションログ」、Config は「リソース設定の状態と変更履歴」と守備範囲が 異なるため、3 つの使い分けは頻出ポイントとなる。