ある決済処理企業が、PCI DSS Level 1の審査に向けてHSM（ハードウェアセキュリティモジュール）による暗号鍵管理の証明を求められています。 要件として以下が定められています。 ・暗号鍵は生成から廃棄まで一切HSM外部に平文で出ないこと ・FIPS 140-2 Level 3以上の認定を受けたハードウェアを使用すること ・鍵操作の全履歴をAWSサービスで監査できること これら3要件すべてを満たす鍵管理アーキテクチャはどれですか？
AWS CloudHSMは、FIPS 140-2 Level 3認定を受けたシングルテナント専用ハードウェアを提供するHSMサービスです。CloudHSMで生成した暗号鍵は常にHSM内に留まり、AWS側を含む外部に平文で出ることがありません。CloudHSMをKMSカスタムキーストアとして統合することで、KMS APIを通じた鍵操作が可能になるとともに、CloudTrailで全ての鍵操作の監査証跡を取得できます。これにより「HSM外部への鍵素材流出なし」「FIPS 140-2 Level 3準拠」「操作履歴の監査」という3要件をすべて満たします。 選択肢AのAWS KMS（CMK）はFIPS 140-2 Level 2準拠のマルチテナントHSMを使用しており、Level 3の要件を満たしません。マルチリージョンキーは可用性向上には有効ですが、HSM認定レベルの要件には関係しません。 選択肢BのAWS Secrets Managerはデータベース認証情報や外部APIキーなどのシークレット管理に特化したサービスであり、FIPS 140-2 Level 3準拠のHSMで暗号鍵を生成・保管する機能を持ちません。 選択肢DのAWS Systems Manager Parameter StoreはKMSを用いたSecureString暗号化が可能ですが、HSMを直接管理・認定する機能はなく、FIPS 140-2 Level 3準拠の証明ができません。