Как работают AWS IAM роли и зачем избегать access key-ов?

IAM Role — набор прав без постоянных credentials. EC2 инстанс или EKS pod принимает роль и получает временные токены через metadata service. Приложение делает aws sts assume-role или SDK автоматически берёт credentials из instance metadata. Access keys — постоянные credentials, риск утечки высок. Всегда используй роли для EC2/Lambda/EKS. Access keys только для CI/CD где нет IAM роли, ротируй регулярно.