CloudWatch Logsのロググループを暗号化するためにKMSキー（CMK）を使用したい。KMSキーポリシーに設定すべき許可はどれか。

API Gatewayのカスタムドメイン名を使用しており、Route 53でエイリアスレコードを設定している。API Gatewayをリージョン障害時に別のリージョンにフェイルオーバーさせたい。Route 53で必要な設定はどれか。