解説

DSSE-KMSはAmazon S3が提供するデュアルレイヤーサーバーサイド暗号化オプションで、2つの独立したKMSキーを使用してデータを二重に暗号化します。AWS内で完結した管理が可能で外部キー管理基盤は不要です。GovCloud環境や特定の連邦標準（CNSSI 1253等）への準拠が必要な用途に適しています。 選択肢AのSSE-KMSは1つのKMSキーで1層の暗号化のみ提供します。S3には2つのCMKを順番に適用するネイティブ機能は存在しません。 選択肢BのSSE-CとSSE-S3の組み合わせはS3の仕様上設定できません。S3のサーバーサイド暗号化は一度に1種類のみ有効にできます。 選択肢DのAWS Encryption SDKとSSE-KMSの組み合わせは技術的には2層の暗号化を実現しますが、クライアントサイド暗号化ライブラリの管理が必要になり「AWSが提供する標準的な暗号化機能のみ」という要件に反します。