あるメディア企業は、SSE-KMS（カスタマーマネージドキー）で暗号化した動画ファイルを Amazon S3 に保存し、Amazon CloudFront を通じて世界中に配信しています。セキュリティ要件として、S3 バケットはブロックパブリックアクセスを完全に有効化したままにし、オブジェクトへのアクセスは CloudFront ディストリビューション経由のみに限定する必要があります。同時に、KMS で暗号化されたオブジェクトを CloudFront が問題なく復号・配信できる構成が求められます。この要件を満たす構成はどれですか。
Origin Access Control（OAC）は SigV4 署名により S3 へのオリジンリクエストを署名するため、SSE-KMS で暗号化されたオブジェクトの配信に対応しています。 バケットはブロックパブリックアクセスを維持したまま、バケットポリシーで CloudFront サービスプリンシパルからのアクセスのみを許可し、さらに KMS キーポリシーで同サービスプリンシパルに kms:Decrypt を付与することで CloudFront が復号できます。 選択肢1の OAI は SSE-KMS 暗号化オブジェクトの配信に必要な SigV4 署名に対応しておらず、KMS 暗号化オブジェクトを配信できない。 選択肢2の署名なし OAC とパブリック読み取り・SSE-S3 への変更は、バケットを公開し暗号化要件も変更してしまうため失格。 選択肢3の署名付き URL とブロックパブリックアクセス無効化は、バケットを公開状態にしてしまい「CloudFront 経由のみ」「バケット非公開」の要件に反する。