KMSで暗号化されたS3オブジェクトを、署名付きURLを使用して第三者にダウンロードさせたい。署名を作成するIAMユーザー/ロールに必要なKMS権限はどれですか。

S3バケットポリシーで、条件キー `s3:x-amz-server-side-encryption` を使用して `AES256` を要求する設定を行いました。これは何を意味しますか。