アカウントA（開発アカウント）のLambda関数がKMSカスタマーマネージドキー（CMK）で暗号化したデータをS3に保存している。アカウントB（分析アカウント）のIAMロールがそのデータを復号する必要がある。この要件を正しく実現するための設定の組み合わせはどれか？
KMS のクロスアカウントアクセスには「KMS キーポリシー（リソースベース）」と「IAM ポリシー（アイデンティティベース）」の両方が必要です。キーポリシーで外部アカウントのプリンシパルを明示的に許可しなければ IAM ポリシーだけでは権限が付与されません。この二重チェック機構が KMS のセキュリティモデルの特徴で、S3 バケットポリシーとは異なる動作をします。 選択肢A の KMS キーポリシーのみの許可は、IAM ポリシーがなければ権限が付与されません。 選択肢B の IAM ロールポリシーのみの許可は、キーポリシーで明示的に許可されていなければ権限が付与されません。 選択肢D のマルチリージョンキーへの変換は、クロスアカウントアクセスの要件を満たさず、別目的の機能です。