数十のチームが1つの大規模データレイクバケットを共有しており、チームごとに異なるプレフィックスへのアクセス制御を追加するたびにバケットポリシーが肥大化して管理が困難になっています。バケットを分割せずに、チームごとの専用エンドポイントと独立したポリシーでアクセスを管理できる機能はどれですか

正解の理由：S3 アクセスポイントは、1つのバケットに対して用途やチームごとの専用ホスト名と独自のアクセスポリシーを持つ「入口」を複数作れる機能です。各アクセスポイントのポリシーで対象プレフィックスや許可アクション、接続元VPCを個別に定義できるため、共有バケットのバケットポリシーを肥大化させずに数百のアプリケーションへアクセス管理を分散できます。バケット分割とレプリケーションはデータの重複とコスト増を招き、ACLはオブジェクト単位の粗い制御で現在は無効化が推奨されています。CloudFront の署名付きURLはコンテンツ配信の一時的なアクセス許可であり、データレイクのチーム別アクセス管理には適しません。