解説

Amazon Kinesis Data Streams はサーバーサイド暗号化（SSE）をネイティブにサポートしており、ストリームに書き込まれたデータを保存時に AWS KMS キーで自動的に暗号化します。この機能はストリームの暗号化設定を有効化してカスタマーマネージドキー（CMK）を指定するだけで動作し、プロデューサー・コンシューマーアプリケーションのコードを一切変更する必要がありません。CMK を使用することで、キーのローテーション・アクセスポリシー・使用ログを企業側で完全に管理でき、PCI DSS の「企業独自管理」要件を満たします。 選択肢Bのクライアントサイド暗号化は CMK による暗号化は実現できますが、プロデューサーとコンシューマー双方のコードに暗号化・復号ロジックを実装する必要があります。「アプリケーションのコードを変更せずに」という要件を満たしません。 選択肢CのAmazon Data Firehose + S3 SSE-S3 は、Kinesis Data Streams のストリーム内データ（保存中）は暗号化されません。また SSE-S3 は AWS マネージドキーを使用するため「CMK による独自管理」の要件を満たしません。 選択肢DのAWS マネージドキー（aws/kinesis）はキーポリシーのカスタマイズやローテーション周期の設定が制限されており、PCI DSS で要求される「企業独自管理（CMK）」の要件を満たしません。