パブリックIPv4を持つEC2が、送信元TCPポート50123から外部APIの443へ接続する。経路とSecurity Groupは通信を許可するが、カスタムNACLは送信443を許可し、受信は宛先443だけを許可して残りを拒否する。APIからの応答を通すために確認すべきNACLルールはどれか。

IAMユーザーへ、特定S3オブジェクトのGetObjectをAllowするpermissions boundaryを付けた。しかしユーザーのidentity-based policyはGetObjectを許可せず、bucket policy等からの別の許可もない。permissions boundaryの意味として正しいのはどれか。

アプリ用DBパスワードを安全に保存し、定期変更時にはDB側と保存した資格情報の両方を整合させたい。対象DBに対応したローテーション方式を使える。暗号化キーの更新と混同しない構成はどれか。