ある企業が、EC2 インスタンスで動作するアプリケーションに対して、AWS KMS を使って特定のデータを暗号化/復号する機能を実装したい。最小権限の原則に従い、そのアプリケーションの EC2 インスタンスにだけ KMS キーの使用を許可し、他の IAM エンティティからは使用できないようにしたい。最も適切な方法はどれか。

1. A. KMS キーポリシーで AWS アカウントのルートユーザーを Principal に指定して全権限を付与し、IAM ポリシーで対象ロールのみに KMS 使用を許可する。
2. B. AWS Secrets Manager でデータを暗号化し、KMS キーは使用しない。
3. C. KMS キーポリシーで EC2 インスタンスにアタッチされた IAM ロールの ARN を Principal に指定し、kms:Encrypt と kms:Decrypt のみを Allow する。
4. D. KMS キーを EC2 インスタンスのリージョンと異なるリージョンに作成し、クロスリージョンアクセスを設定する。