金融規制への対応として、暗号鍵をFIPS 140-2 レベル3認定の専用ハードウェアで保持し、鍵素材にAWSの運用担当者を含む第三者が一切アクセスできないことを証明する必要があります。適したサービスはどれですか

正解の理由：AWS CloudHSM は利用者専用のハードウェアセキュリティモジュールを提供し、FIPS 140-2 レベル3の認定を受けています。HSMのユーザー認証情報は顧客だけが保持するため、AWSの運用担当者も鍵素材にアクセスできない点を証明できます。KMSのAWSマネージドキーはマルチテナントのHSM基盤上で動作し、専有性の証明が求められる要件には合いません。Secrets Manager は認証情報の保管とローテーションのサービスで、暗号鍵の耐タンパー保護が目的ではありません。キーマテリアルのインポートは鍵の出所を管理者が握れますが、稼働するHSM自体は共有基盤のままです。