IAMポリシーで `iam:PassRole` アクションを許可する際、セキュリティリスクを最小限にするために `Resource` 要素で何を絞り込むべきですか。

KMS Custom Key Store (CloudHSM) を使用している場合、CloudHSMクラスターへの接続が切断されたり、HSMが初期化されたりすると、KMSキーはどうなりますか。