グローバルなEコマース企業が、us-east-1 と ap-southeast-1 のAmazon S3バケットに顧客データをKMSカスタマー管理キー（CMK）でSSE-KMS暗号化して保存しています。ap-southeast-1 のアプリケーションが us-east-1 で暗号化されたS3オブジェクトを復号する際、us-east-1 のKMSエンドポイントへのクロスリージョンAPIコールが発生し、高レイテンシと追加コストが問題になっています。セキュリティチームは「KMSによるキーポリシーの制御・CloudTrail監査能力を維持しながら」、クロスリージョンKMS APIコールをなくしたいと考えています。最も適切な解決策はどれですか？
KMSマルチリージョンキーは、同一のキーマテリアルとキーIDプレフィックス（mrk-...）を複数リージョンに展開できる機能です。us-east-1 のプライマリキーで暗号化されたデータは、ap-southeast-1 のレプリカキーでローカルに復号できるため、クロスリージョンAPIコールが発生しません。KMSのキーポリシー制御やCloudTrailによる監査も引き続き有効です。 選択肢Bの再暗号化パイプラインは、構築すると既存データとの暗号化互換性が失われ、移行コスト・運用コストも増大します。根本的な解決策ではありません。 選択肢CのSSE-S3への変更は、KMSによるキーポリシー制御やCloudTrail監査を失い、セキュリティ要件を満たしません。 選択肢DのCondition設定は、アクセス制御の問題を解決しますが、APIコール自体は依然として us-east-1 のKMSエンドポイントへ送信されます。レイテンシやコストの問題は解消されません。