EC2インスタンス上でクレジットカード番号などの機密データを処理する際、同じインスタンスを操作できる運用担当者やOSプロセスからもメモリ内容を隔離し、処理結果の正当性を暗号学的に証明したい場合に適した機能はどれですか

正解の理由：Nitro Enclavesは親インスタンスから分離された専用のCPUとメモリを持つ隔離実行環境を作成でき、外部ネットワーク接続を持たず、証明（アテステーション）機能により処理結果や実行コードの正当性を暗号学的に検証できる。IMDSv2はメタデータサービスへのアクセス保護、KMSのCMKはデータの暗号鍵管理、EBS暗号化は保存データの暗号化であり、いずれも実行中メモリの隔離とアテステーションは提供しない。