AWSのML-DSA制限はKeySpecで：SCPとIAMで作成・利用を制御する

AWSが公開したML-DSAの統制例をもとに、kms:KeySpecで鍵の作成と既存鍵の利用を制限する仕組みを整理します。SCPの適用範囲、証明書発行やKMS外の処理に残る境界まで押さえます。