这篇文章把 AWS KMS、data key、encrypted data key、EncryptionContext 以及“为特定用户托管私钥”的工程设计串成一条完整链路，尽量用人话讲清楚它们各自该放在哪里、由谁负责、什么时候该用、什么时候别乱用。

Node Role 像一把“万能钥匙”。IRSA 让你把权限精确绑定到 Pod：用 Kubernetes 的 ServiceAccount token 走 OIDC 联邦，去 STS 换临时凭证。