解説

S3 Bucket Keysは、S3バケット（またはオブジェクトプレフィックス）レベルで短期間キャッシュされたデータキーを使用する機能です。従来のSSE-KMSでは個々のオブジェクト暗号化ごとに毎回KMS APIを呼び出していましたが、S3 Bucket Keysを有効にすることで1回のKMS API呼び出しで生成したデータキーを複数オブジェクトの暗号化に再利用します。KMS API呼び出しを最大99%削減できると報告されており、SSE-KMS（CMK）を維持したまま大幅なコスト削減が可能です。バケットのプロパティから有効化でき、既存オブジェクトには新規アップロード・コピー時に段階的に適用されます。 選択肢BのSSE-S3への切り替えはKMSコストを排除できますが、カスタマー管理キーの使用継続という必須要件に違反します。SSE-S3ではキーポリシーによるアクセス制御や詳細な監査証跡が失われます。 選択肢CのAWS Encryption SDKへの変更は大規模なアーキテクチャ変更と既存オブジェクトの再暗号化が必要で、暗号化方式を変更しないという条件に反します。 選択肢DのS3 Intelligent-Tieringはアクセスパターンに基づくストレージクラス最適化機能であり、KMS API呼び出し回数やKMSコストの削減には直接寄与しません。