規制により暗号鍵のマテリアルを自社データセンターの外部のHSMに保持し続ける必要があります。AWSサービスのデータ暗号化にはKMSを経由して使いたい場合に利用する機能はどれですか

正解の理由：KMS 外部キーストア（XKS）は、鍵マテリアルを顧客管理の外部HSMやキー管理システムに置いたまま、外部キーストアプロキシを介してKMSの暗号化操作に利用できる機能です。鍵がAWSの外に出ない要件に合致します。CloudHSM のカスタムキーストアは鍵がAWS上のCloudHSMクラスターにあり、「自社データセンターの外部」という要件には当てはまりません。鍵マテリアルのインポートはKMS内に鍵のコピーが保持されます。AWS管理キーは鍵の管理をAWSが行うため、鍵の保持場所を制御できません。