IAMロールの「パスロール（PassRole）」権限が必要となる具体的なシナリオはどれですか。

KMSで暗号化されたS3オブジェクトを、署名付きURLを使用して第三者にダウンロードさせたい。署名を作成するIAMユーザー/ロールに必要なKMS権限はどれですか。