Amazon S3バケットに保存される機密データを保護するために、サーバーサイド暗号化（SSE）を使用することが決定されました。鍵の管理とローテーションをAWSに任せたい場合、どのオプションを選択すべきですか。

ある企業がAWSアカウント内のすべてのIAMユーザーに対して、特定の条件（例：MFAが有効化されていない場合）でのAPIアクセスを制限したいと考えています。最も効率的かつ包括的にこの要件を満たす方法はどれですか。