如果要用开源组件搭一个 AWS IAM 风格的授权系统，不能只靠 OpenFGA 或 OPA。更合理的组合是 Keycloak/Dex 做用户身份，SPIFFE/SPIRE 做工作负载身份，STS 服务签发短期角色会话，OpenFGA 表达 trust/resource relationship，OPA 表达 permission policy、condition 和 explicit deny，再由 API Gateway 或服务中间件作为 PEP 执行决策。

讲清楚 workload identity 是什么、为什么它比长期凭证更靠谱，以及在 Kubernetes 和云平台里如何落地。

Node Role 像一把“万能钥匙”。IRSA 让你把权限精确绑定到 Pod：用 Kubernetes 的 ServiceAccount token 走 OIDC 联邦，去 STS 换临时凭证。