オンプレミスのサーバー上のアプリケーションからAWS APIを呼び出します。長期的なアクセスキーは使わず、社内のプライベートCAが発行した証明書で認証して一時的な認証情報を取得したい場合に使う機能はどれですか

正解の理由：IAM Roles Anywhere は、AWS外のワークロードがX.509証明書を使ってIAMロールを引き受け、一時的な認証情報を取得できる機能です。信頼アンカー（社内CAなど）、プロファイル、引き受けるロールを設定します。長期アクセスキーを配布せずに済み、証明書の失効でアクセスを止められます。IAMユーザーのアクセスキーは長期認証情報で要件に反します。Cognito ID プールの未認証アクセスは権限管理と認証強度の面で不適切です。ハイブリッドアクティベーションはSystems Managerエージェント用の仕組みで、任意のアプリケーションがAWS APIを呼ぶための汎用的な認証には使えません。