규정 준수·감사
규정 준수·감사 요구. 기록·불변성·최소 권한이 핵심
이게 뭔가요? / What is this?
이것은 하나의 서비스가 아니라, 법이나 규정을 지키고 있음을 증명해야 하는 요구 전반(추상적 주제)을 가리킵니다. "누가 무엇을 했는가", "설정이 규칙을 따르는가", "민감 정보가 새어나가지 않았는가" 중 무엇을 증명해야 하느냐에 따라 CloudTrail·Config·Macie처럼 완전히 다른 서비스가 정답이 됩니다.
개요 / Overview
53문제가 규제나 감사를 언급합니다. 무엇을 증명해야 하는지에 따라 서비스가 갈립니다 — 행위 기록인가, 구성 준수인가, 민감 데이터 탐지인가, 불변 보관인가.
동작 원리 / How it works
규정 준수 문제는 "무엇을 증명해야 하는가"로 서비스가 정해집니다. 행위 기록을 증명해야 하면 CloudTrail(누가 무엇을 언제), 설정이 규칙을 지킨다는 것을 증명해야 하면 Config(구성 준수와 이력), 민감 데이터의 소재를 증명해야 하면 Macie(S3의 PII), 취약점이 없음을 증명해야 하면 Inspector(CVE)입니다.
여기에 두 가지 구조적 요구가 얹힙니다. 불변 보관은 S3 Object Lock Compliance 모드나 Glacier Vault Lock으로 보존 기간 내 삭제를 원천 차단합니다. 데이터 상주는 특정 리전에만 저장하고, SCP로 다른 리전 사용을 금지하고, 필요하면 Outposts로 시설 내에 둡니다.
시험은 무엇을 보는가 / What the exam is testing
53문제가 규제나 감사를 언급합니다. 시험은 네 서비스를 서로 바꿔 놓은 선택지를 반복해서 내므로, 위 매핑을 확실히 외우는 것이 가장 효율적입니다. 그리고 "감사자가 로그를 지울 수 없어야 한다"는 요구는 별도 계정 + Object Lock 조합을 요구합니다.
시험 포인트 / Exam points
"누가 무엇을 했나" → CloudTrail. "설정이 규칙을 지키나" → Config. "S3에 개인정보가 있나" → Macie. "취약점이 있나" → Inspector.
S3 Object Lock의 Compliance 모드나 Glacier Vault Lock을 쓰면 보관 기간 내에는 루트 계정도 삭제할 수 없습니다.
데이터가 특정 국가를 벗어나면 안 되면 해당 리전에만 저장하고, 리전 간 복제를 SCP로 차단하며, 필요하면 Outposts를 씁니다.
자주 틀리는 함정 / Common traps
Governance 모드 Object Lock으로 엄격한 규제 요구를 답하는 것 — 특별 권한으로 해제 가능하므로 Compliance 모드가 필요합니다.
로그를 같은 계정 S3에 두고 무결성을 주장하는 것 — 계정 침해 시 로그도 조작 가능합니다.
Compliance & Audit
Compliance and audit: logging, immutability, and least privilege
이게 뭔가요? / What is this?
This is not a single service — it is an abstract theme covering any requirement to prove that laws or regulations are being followed. Depending on what must be proven — who did what, whether the configuration follows the rule, or whether sensitive data has leaked — an entirely different service such as CloudTrail, Config, or Macie becomes the correct answer.
개요 / Overview
53 questions mention regulation or audit. What must be proven picks the service: action history, configuration compliance, sensitive-data discovery, or immutable retention.
동작 원리 / How it works
Compliance questions pick a service by what must be proven. Proving actions → CloudTrail (who did what, when). Proving settings follow rules → Config (compliance and history). Proving where sensitive data sits → Macie (PII in S3). Proving absence of vulnerabilities → Inspector (CVEs).
Two structural requirements layer on. Immutable retention uses S3 Object Lock in Compliance mode or Glacier Vault Lock to make deletion impossible within the retention period. Data residency stores only in the permitted Region, forbids others with an SCP, and where required keeps data on site with Outposts.
시험은 무엇을 보는가 / What the exam is testing
53 questions mention regulation or audit, and the exam keeps swapping those four services in its options, so memorising the mapping pays off. And "auditors must not be able to delete logs" requires the separate-account plus Object Lock combination.
시험 포인트 / Exam points
"Who did what" → CloudTrail. "Does the configuration follow the rule" → Config. "Is there PII in S3" → Macie. "Are there vulnerabilities" → Inspector.
S3 Object Lock in Compliance mode or Glacier Vault Lock prevents deletion within the retention period even by the root account.
If data may not leave a country, store only in that Region, block cross-Region replication with an SCP, and use Outposts when required.
자주 틀리는 함정 / Common traps
Answering a strict regulatory requirement with Governance-mode Object Lock — it can be overridden, so Compliance mode is needed.
Claiming integrity with logs in the same account's S3 — a compromised account can tamper with them.
AWS SAA Hub Pro는 독립 학습 자료이며 Amazon Web Services, Inc.의 공식 서비스가 아닙니다. 시험 정책과 서비스 사양은 AWS 공식 문서를 기준으로 확인하세요.