セキュリティエンジニアが、アカウント内のすべてのAWSリージョンに対してAWS CloudTrailトレイルを設定しています。セキュリティを強化するため、ログはAWS KMS (SSE-KMS) を使用したサーバーサイド暗号化とログファイルの整合性検証を使用しています。テスト中、エンジニアはダイジェストファイルを読み取ることができますが、ログファイルを読み取ることができません。最も可能性の高い原因は何ですか？

このシナリオでは、CloudTrailログファイルがSSE-KMSで暗号化されています。エンジニアがログファイルを読み取れない場合、最も可能性の高い原因は、KMSキーポリシーがエンジニアのIAMユーザーまたはロールにログファイルを復号するための権限（kms:Decryptなど）を付与していないことです。ダイジェストファイルは通常暗号化されていないか、異なるキーで暗号化されているため、読み取ることができます。 ログファイルの整合性検証の失敗は、ファイルの読み取りを妨げる直接的な原因ではありません。S3バケットがSSE-S3で設定されている場合でも、SSE-KMSで暗号化されたオブジェクトを保存できます。IAMポリシーがS3バケットへのアクセスを拒否している場合、ダイジェストファイルも読み取れないはずです。