解説

KMS自動キーローテーションは、キーIDとARNを変更せずに内部のキーマテリアルだけを更新します。KMSはローテーション前のキーマテリアルを保持するため、既存の暗号化データは従来通りに復号できます。一方、ローテーション後の新規暗号化操作には新しいキーマテリアルが使用されます。アプリケーション側でキーARNを変更する必要はなく、透過的に動作します。なお、自動ローテーションはインポートされたキーマテリアルには使用できず、その場合は手動ローテーションが必要です。 選択肢AはKMSが既存オブジェクトを自動再暗号化するという点で誤りです。S3オブジェクトは次に書き込まれるタイミングまで既存のキーマテリアルで暗号化されたままです。 選択肢Cは旧キーマテリアルが削除されるという点で誤りです。自動ローテーション後もKMSは旧キーマテリアルを保持し続け、既存データの復号は引き続き可能です。 選択肢DはAWSマネージドキーには自動ローテーションが適用されますが、CMKも自動ローテーションをサポートしており（1年周期）、手動で新しいキーを作成する必要はありません。