新しい Amazon S3 バケットにアップロードされるオブジェクトに対して、AWS KMS のカスタマーマスターキー (CMK) を使用したクライアントサイド暗号化を実装する必要があります。IAM ロールにはポリシーがアタッチされており、テストでは、そのロールがバケットから既存のテストオブジェクトを読み取れることが示されていますが、アップロードは禁止エラーで失敗します。要件を満たしながらアップロードを成功させるために、IAM ポリシーに追加する必要がある KMS アクションはどれですか？

正解は kms:GenerateDataKey です。クライアントサイド暗号化では、KMS CMK を使用してデータキーを生成し、そのデータキーでオブジェクトを暗号化します。この操作には kms:GenerateDataKey アクションが必要です。 kms:GetKeyPolicy はキーのポリシーを取得するために使用され、暗号化操作には関係ありません。kms:GetPublicKey は非対称キーの公開鍵を取得するために使用され、対称キーによるデータ暗号化には適用されません。kms:Sign はデジタル署名に使用され、オブジェクトの暗号化とは異なります。