S3バケットの暗号化において、SSE-KMSを使用している。異なるAWSアカウントのIAMユーザーがこのバケットのオブジェクトをダウンロード（GetObject）しようとした際、「Access Denied」が発生した。バケットポリシーでは許可されている。原因は何か。

Lambda関数のデプロイにおいて、バージョン発行とエイリアス更新を自動化するためにSAM（Serverless Application Model）を使用している。トラフィック移行中にエラーが発生した場合、CloudWatchアラームに基づいてロールバックする設定は `AutoPublishAlias` と何を使用するか。