S3バケットに対する「PassRole」権限を持つIAMユーザーが、S3バケット設定を変更して、CloudTrailログを別のバケットに配信させ、そのバケットからログを削除することで証跡を隠滅するリスクがあります。これを防ぐための最小特権の原則に基づく対策はどれですか。

RDS Custom for Oracleを使用しています。このサービスではOS（Linux）へのアクセス（SSH）が可能ですが、サポートされる構成を維持するために、ユーザーが変更してはいけない（AWSの自動化を妨害してはいけない）領域があります。これを監視し、違反があった場合に通知する機能はどれですか。