某應用程式將敏感檔案儲存在 Amazon S3 中，並且必須對靜態資料進行加密。公司政策要求提供稽核軌跡，以顯示 AWS KMS key 的使用時間以及使用該金鑰的主體。哪種伺服器端加密選項符合此要求？

SSE-KMS (使用 AWS KMS 受管金鑰的伺服器端加密) 是正確選項，因為它使用 AWS Key Management Service (KMS) 來管理加密金鑰。KMS 會自動記錄金鑰的使用情況到 AWS CloudTrail，提供詳細的稽核軌跡，包括金鑰的使用時間和執行操作的主體。這完全符合公司政策對稽核軌跡的要求。 SSE-S3 (使用 Amazon S3 受管金鑰的伺服器端加密) 使用由 Amazon S3 管理的金鑰，不提供 KMS 級別的詳細稽核軌跡。SSE-C (使用客戶提供金鑰的伺服器端加密) 要求客戶提供和管理加密金鑰，AWS 不會為這些金鑰提供稽核軌跡。使用 KMS 外部客戶受管金鑰的伺服器端加密也不是標準的 S3 加密選項，且不提供 AWS KMS 的稽核優勢。