解説

KMSのEncrypt APIは最大4KBのデータしか直接暗号化できません。大きなデータにはエンベロープ暗号化が必須です。GenerateDataKey APIはKMSキー（旧称：CMK）で暗号化されたデータキーと平文データキーのペアを返します。アプリは平文キーでデータをローカル暗号化後、平文キーをメモリから消去し、暗号化済みデータキーを暗号文と一緒に保存します。復号時はKMSでデータキーを復号してから使用します。 選択肢Aのファイルを4KBのチャンクに分割してKMS Encrypt APIで暗号化する方法は4KB制限の回避策として技術的には可能ですが、10MBファイルでは約2500回以上のKMS API呼び出しが発生しコスト・レイテンシともに非現実的であり、AWSのベストプラクティスに反します。 選択肢CのAWS Certificate Manager（ACM）はSSL/TLS証明書の管理サービスであり、任意のファイルやデータの暗号化には使用できません。 選択肢DのファイルをS3にアップロードしてSSE-KMSに委任する方法はS3保存時の暗号化には対応しますが、Lambda関数内でファイルを暗号化するという要件に反し、S3への不要なラウンドトリップが発生する非効率な設計です。