IAMの「アクセス許可の境界（Permissions Boundary）」と「SCP」と「アイデンティティベースポリシー」すべてが適用されているユーザーがアクションを実行できる条件は何ですか。

KMSを使用したエンベロープ暗号化において、大量のデータを暗号化する際、KMS API（Encrypt/Decrypt）を直接呼び出すのではなく、データキーを使用する主な理由（パフォーマンス以外）は何ですか。