複数のAWSアカウントを利用しています。監査用アカウントから各アカウントの設定変更履歴を一元的に確認したいです。最も適したサービスはどれですか？

解説

AWS CloudTrailはAWSアカウント内のAPI操作履歴を記録します。組織全体の証跡を集約することで監査に利用できます。

選択肢ごとの解説

実務での使いどころ

AWS CloudTrail は AWS アカウント内で発生した API 操作・コンソール操作・SDK 経由の操作を記録する監査ログサービスである。マネジメントイベント（IAM ユーザー作成、EC2 起動、S3 バケット削除など）はデフォルトで 90 日間保持され、追加で S3 バケットに長期保管する Trail を作成することで、より長期間の監査要件にも対応できる。AWS Organizations と組み合わせて Organization Trail を有効化すると、組織配下の全アカウントの証跡を 1 つの S3 バケット（管理アカウント／委任管理アカウント）に集約でき、監査用アカウントから横断的に確認できる。 類似サービスとの使い分けが頻出ポイントである。CloudWatch はメトリクスとログ（アプリケーションログ、システムログ）の収集・可視化が主目的、AWS Config はリソース設定の変更履歴と「設定がコンプライアンスルールを満たしているか」の継続評価が主目的、CloudTrail は「誰が、いつ、何の API を叩いたか」の操作証跡が主目的である。3 つを組み合わせて、検知（CloudWatch Logs Insights / EventBridge ルール）、評価（Config Rules）、追跡（CloudTrail）を構成するのがエンタープライズ監査の基本形となる。 SAA-C03 では「マルチアカウントの操作履歴を一元的に確認したい」「監査用に API コール証跡を集約したい」要件で CloudTrail（Organization Trail）が正解となる。CloudWatch / Config との混同を狙う誤答が出やすく、特に「設定変更履歴」という言い回しは Config を想起させるが、API コール証跡まで含めて「変更を追跡」したい場合は CloudTrail が必要となる。