【正解】A
【0からの解説】
S3 のサーバー側暗号化(SSE-S3)は、Amazon S3 が暗号化キーの作成・管理・ローテーションをすべて自動で行ってくれる方式です。利用者はキーの管理を一切意識せず、保存データは自動的に暗号化されます。キーローテーションも AWS が自動的に行うため、「保存時に暗号化」「キーを毎年自動ローテーション」という両要件を、設定一つで・追加の管理作業なしで満たせます。よって運用上のオーバーヘッドが最も小さい選択肢です。
【誤りの選択肢】
B：KMS のカスタマーマネージドキー(CMK)で自動ローテーションも実現できますが、キーの作成・キーポリシー管理・コスト管理など SSE-S3 に比べて運用作業が増えます。要件は単に「暗号化+年次自動ローテーション」だけなので、CMK は過剰で運用負荷が大きくなります。
C：CMK を使いつつローテーションを「毎年手動」で行うため、運用担当者が忘れずに作業し続ける必要があり、自動化されておらず最も手間がかかります。
D：自前のキーマテリアルをインポートする方式(BYOK)は最も複雑です。さらにインポートしたキーマテリアルを持つ KMS キーは AWS による自動ローテーションの対象外となるため、要件(毎年の自動ローテーション)を満たせず、運用も煩雑です。
【参考】
Amazon S3 のサーバー側暗号化(SSE-S3)S3 のデフォルト暗号化