解説

選択肢CのAWS KMS 自動キーローテーションを有効化すると、年に 1 回（デフォルト、90 日〜2560 日の範囲で設定可能）新しいキーマテリアルが生成されます。重要なポイントは以下のとおりです。 ・キー ID・キーエイリアス・キーポリシーはそのまま維持されるためアプリケーション変更不要 ・AWS KMS はすべての古いキーマテリアルを内部に保持するため、ローテーション前に暗号化されたデータは以前のマテリアルで自動復号可能 ・既存データの再暗号化は不要 これにより、最小の運用作業でコンプライアンス要件（年次ローテーション）を満たせます。 選択肢Aの新規 CMK 作成と S3 Batch Operations による再暗号化は既存データの再暗号化が必要で大規模な作業が発生し、問題の「再暗号化を避ける」要件を満たしません。 選択肢BのImportKeyMaterial API で新しいキーマテリアルに上書きすると、古いマテリアルで暗号化されたデータが復号不能になります。また AWS 生成の CMK（キーオリジンが AWS_KMS のキー）にキーマテリアルをインポートする操作は対応していません。 選択肢DのAWS Secrets Manager はデータベースパスワードや API キーなどのシークレットを管理するサービスであり、KMS キーマテリアルのローテーション機能は提供していません。