ある会社は、S3 に置いた学習データを暗号化している。セキュリティ部門から、鍵の利用を監査で確かめられること、鍵を自社で管理して必要なら無効にできることを求められた。データの置き場所は S3 のまま変えたくない。今は S3 の既定の暗号化のまま運用している。これらの要件を満たす最も適切な設定はどれか。