一家咨询公司正在为其受监管的金融服务用户创建安全的数据分析解决方案.用户会将其原始数据上传到仅具有PutObject 权限的Amazon S3存储桶.数据将由在VPC 中启动的Amazon EMR 集群上运行的应用程序进行分析.公司要求环境与Internet 隔离.必须使用公司控制的密钥对所有静态数据进行加密.解决方案架构师应采取哪种行动组合来满足用户的安全要求（）

A.在配置为使用AWS KMS CMK 进行静态加密的专用子网中启动Amazon EMR 集群.为Amazon S3配置网关VPC 终端节点，为AWS KMS 配置接口VPC 终端节点
B.在配置为使用AWS KMS CMK 进行静态加密的专用子网中启动Amazon EMR 集群.配置Amazon S3的网关VPC 终端节点和NAT 网关以访问AWS KMS
C.在配置为使用AWS CloudHSM 设备进行静态加密的专用子网中启动AmazonEMR 集群.为Amazon S3配置网关VPC 终端节点和为CloudHSM 配置接口VPC 终端节点
D.配置S3端点策略以仅允许访问必要的数据桶
E.配置S3存储桶策略以允许使用aws：sourceVpce 条件进行访问以匹配S3端点ID