あるアプリケーションがAmazon S3にオブジェクトを保存しています。開発者はS3アクセスに対して転送中の暗号化を強制する必要があり、個人データを含むすべてのオブジェクトは、オンデマンドでローテーションできるAWS KMSカスタマーマネージドキーを使用して保存時に暗号化する必要があります。これらの要件を満たすアクションの組み合わせはどれですか？（2つ選択してください。）

転送中の暗号化を強制するには、S3バケットポリシーでaws:SecureTransport条件を使用して、HTTPS接続のみを許可します。これにより、暗号化されていないHTTPリクエストは拒否されます。保存時の暗号化には、アプリケーション側でAWS KMSカスタマーマネージドキー (CMK) を使用してオブジェクトを暗号化してからS3にアップロードする必要があります。これにより、オンデマンドでのキーローテーションが可能になります。 誤った選択肢： アクセス許可境界はIAMプリンシパルに適用され、S3アクセスには直接関係ありません。 S3バケットポリシーは、クライアント側の暗号化を強制することはできません。これはアプリケーションの責任です。 S3 Block Public Accessは、パブリックアクセスをブロックするためのものであり、HTTPS接続の強制とは異なります。