ある金融機関が、機密データを保存する RDS for PostgreSQL データベースを運用している。規制要件として、データベースに保存されるすべてのデータを顧客管理の暗号化キー（CMK）で暗号化し、キーのローテーション履歴や使用ログを監査できる必要がある。また、アプリケーション側でのコード変更を最小限に抑えたい。最も適切なソリューションはどれか。

1. A. Amazon Macie を使用して RDS のデータを定期スキャンし、機密データが含まれる場合にアラートを送信する。
2. B. RDS for PostgreSQL の作成時に AWS KMS のカスタマーマネージドキー（CMK）を使用した暗号化を有効化し、AWS CloudTrail で KMS API の呼び出しログを記録する。
3. C. アプリケーション層でデータを AES-256 で暗号化してから RDS に保存する。暗号化キーはアプリケーションサーバーのローカルファイルに保管する。
4. D. RDS の SSL/TLS 接続を有効化し、転送中暗号化のみで規制要件を満たすと判断する。