CodePipeline 會加密寫入 artifact bucket 的 artifact。預設情況下使用 AWS 受管金鑰 aws/s3，此金鑰無法跨帳號共用，因為 IAM 政策無法在 AWS 受管金鑰上授予另一個帳號 kms:Decrypt 權限。對於任何跨帳號 pipeline action，必須在 pipeline 所在的 Region 以客戶自管的 KMS 金鑰取代預設金鑰。CMK 的金鑰政策必須授予 pipeline 服務角色 kms:Encrypt/Decrypt/GenerateDataKey，同時也必須授予使用方帳號的 principal（Production 帳號中的 CodeDeploy 服務角色）kms:Decrypt 與 kms:DescribeKey。僅有 artifact bucket policy 是不夠的：即使 s3:GetObject 已被允許，使用方在未取得 KMS 授權的情況下仍無法讀取密文。這是 DOP-C02 考試中最常考的跨帳號 CodePipeline 陷阱。

白話文解釋

想像你把一個上鎖的包裹寄到另一個辦公室，給了他們地址（S3 bucket policy），卻沒給開鎖的鑰匙（KMS）。他們可以走到包裹旁邊，卻打不開它。解決方法是換用你自己的掛鎖，再把備份鑰匙交給那個辦公室，而不是用大樓的萬能鎖——那只有房東才能複製。

選項分析

A：Transfer Acceleration 是網路效能功能，與授權失敗無關。
B：正確。pipeline artifact bucket 必須使用客戶自管的 CMK，且該金鑰政策必須授予使用方帳號的部署角色 kms:Decrypt 權限。
C：NAT gateway 是網路出口考量；錯誤症狀是存取拒絕，而非網路逾時。
D：Object Lock 控制刪除/覆寫以達成保留目的，而非跨帳號解密。