解説

AWS KMSカスタムキーストアをCloudHSMクラスターに接続することで、キーマテリアルをFIPS 140-2 Level 3認定のシングルテナントHSM内に保存しながら、KMS APIを通じてS3・RDS・EBSなどのAWSサービスとシームレスに統合できる。キーマテリアルは常にCloudHSMクラスター内にのみ存在し、AWSのマルチテナント環境には保存されないため、3要件すべてを満たす。暗号化オペレーションもCloudHSM内で実行されるため、キーが外部に露出することはない。 選択肢AのKMS CMK（カスタマーマネージドキー）はFIPS 140-2 Level 2に準拠したAWSのマルチテナントHSMでキーマテリアルが保護されており、シングルテナントHSMを要求する要件(1)と「マルチテナント環境への保存禁止」を示す要件(3)の両方を満たさない。 選択肢BのCloudHSM単独デプロイはFIPS 140-2 Level 3準拠のシングルテナントHSMを提供するが、S3・RDS・EBSのネイティブKMS暗号化統合には対応しておらず、アプリケーション側で独自の暗号化実装が必要になり要件(2)を満たせない。 選択肢DのSecrets Managerはデータベースパスワードやシークレットの管理・自動ローテーションを目的としており、KMS暗号化キーの管理やS3・RDS・EBSとのネイティブ暗号化統合機能を持たない。