IAMユーザーに `iam:PassRole` 権限を付与する際、セキュリティリスク（権限昇格）を最小限に抑えるために、`Resource` 要素で何を制限すべきですか。

CloudHSMキーストア（Custom Key Store）を使用するKMSキーについて、KMSサービス自体が利用できなくなった場合でも、直接CloudHSMクラスターにアクセスしてキーを使用（復号など）することはできますか。