ある企業がHub-Accountという名前のアカウントのS3バケットにデータを保存しています。このバケットはKMSキーを使用して暗号化されています。別のBI-AccountというアカウントのQuickSightインスタンスがそのバケットにアクセスする必要があります。S3バケットポリシーは、QuickSightサービスロールにアクセスを許可するように更新されました。暗号化されたS3バケットへのクロスアカウントQuickSightアクセスを有効にするには、どのような手順を実行する必要がありますか？（2つ選択してください。）

KMSで暗号化されたS3バケットにクロスアカウントでQuickSightがアクセスするには、QuickSightサービスロールがS3バケットとKMSキーの両方にアクセスできる必要があります。したがって、QuickSightサービスロールがアクセスできるリソースとしてKMSキーを追加することが必要です。また、S3バケットポリシーでQuickSightサービスロールにS3バケットへのアクセスを許可するだけでなく、KMSキーポリシーでもQuickSightサービスロールにKMSキーの使用を許可する必要があります。 既存のKMSキーを使用してQuickSightサービスのS3バケットへの接続を暗号化する、という選択肢は、KMSキーの利用方法として不適切です。AWS RAMはS3バケットの共有には使用されません。QuickSightサービスロールがアクセスできるリソースとしてS3バケットを追加することは、S3バケットポリシーでアクセスを許可するのと同じ意味合いですが、KMSキーへのアクセス許可も必要です。