一家医疗保健公司正在开发一个 AWS Lambda 函数，该函数将包含受保护健康信息 (PHI) 的通知发布到加密的 Amazon SNS topic。该 SNS topic 使用 AWS KMS 客户管理型密钥进行加密。公司必须确保应用程序具有将消息安全发布到 SNS topic 所需的权限。以下哪些步骤组合可以满足这些要求？（选择三项。）

Lambda 函数需要权限才能发布到 SNS topic。因此，为 SNS topic 创建资源策略，允许 Lambda 函数发布消息是必要的。由于 SNS topic 使用客户管理型 KMS 密钥进行加密，Lambda 函数还需要使用该 KMS 密钥的权限。这通过两个步骤完成：首先，在 Lambda 函数的执行角色中添加使用 KMS 密钥的权限；其次，在 KMS 密钥的资源策略中允许 Lambda 的执行角色使用该密钥。在 SNS topic 资源策略中指定 Lambda 函数的 ARN 是确保只有特定函数可以发布到 topic 的最佳实践。使用 SSE-KMS 替代客户管理型密钥不符合题目要求。将 API Gateway 与 SNS topic 关联与 Lambda 函数直接发布消息的场景不符。