解説

KMSグラントは、KMSキーポリシーを変更せずにプログラムから動的に特定のプリンシパルへの操作権限を付与・削除できる仕組みです。CreateGrant APIで操作種別（Decrypt）と許可対象のプリンシパル（Lambda実行ロール）を指定してグラントを作成し、処理完了後にRetireGrant APIでグラントを削除することで、アクセス期間を正確に制御できます。グラントはキーポリシーとは独立して管理されるため、ポリシードキュメントを書き換えるリスクがありません。 選択肢BのPutKeyPolicyによるキーポリシーの動的更新は機能しますが、並行実行時に競合が発生するリスクがあり、JSONドキュメントの管理が複雑です。グラントのほうがプログラム的な管理に適しています。 選択肢CのSTS AssumeRoleでCMK管理者ロールを引き受けることはkms:CreateKeyなど過剰な権限を持つ可能性があり、最小権限原則に反します。 選択肢DのData Keyを環境変数に保存することはセキュリティ上のリスクがあり推奨されません。Data Keyは使用後すぐにメモリから削除するのがベストプラクティスです。