IAM Roles for Service Accounts（IRSA）は、EKSクラスターのOIDCプロバイダーを介してKubernetesサービスアカウントとIAMロールを関連付ける仕組みです。信頼ポリシーで特定のサービスアカウント（namespace/名前）に限定でき、PodはWeb IDフェデレーションで短期のSTS認証情報を取得します。これによりPodごとに最小権限を付与でき、静的認証情報をクラスター内に保持する必要もありません。
選択肢Bのノードインスタンスロールは同一ノード上の全Podで共有されるため、RBACはKubernetes APIの認可制御に過ぎずIAM権限のPod単位分離はできない。
選択肢CのIAMアクセスキーをSecretsに保存する方法は長期の静的認証情報を保持することになり、ローテーションや漏えいリスクの要件に反する。
選択肢Dの単一ロールを全Podで引き受ける構成はロールが過剰権限を持つため最小権限を実現できない。