開発チームは、機密性の高い在庫データをAmazon S3バケットに保存するサプライチェーンアプリケーションを構築しています。データはAWS Key Management Service (AWS KMS) のカスタマーマネージドキーで暗号化されます。データは数百のベンダーと共有する必要があり、各ベンダーは自身のAWSアカウントのプリンシパルを使用します。ベンダーリストは毎週変更されます。ソリューションは、運用上のオーバーヘッドを最小限に抑えつつ、クロスアカウントアクセスをサポートする必要があります。キーアクセス制御を管理する最も効率的な方法は何ですか？

KMS grantsは、特定のプリンシパルに対して、特定の期間、特定のKMSキーへのアクセスを許可するメカニズムです。ベンダーリストが頻繁に変更される場合、プログラムでgrantを作成および取り消すことで、運用オーバーヘッドを最小限に抑えつつ、きめ細かなアクセス制御を効率的に管理できます。 IAMロールポリシーやKMSキーポリシーを直接更新する方法は、ポリシーのサイズ制限に達する可能性があり、数百のベンダーを管理するにはスケーラビリティが低いです。また、IAMロールの信頼ポリシーを更新する方法も、各ベンダーアカウントにロールを作成する必要があるため、管理が複雑になります。KMS grantsは、このような動的なクロスアカウントアクセス要件に特化しており、最も効率的なソリューションです。