防止客户端AWS客户端凭证和CMK暴露

Question

1. 我使用AWS KMS的CMK在服务器端加密了一些数据。因此，将创建一个加密的数据密钥，并将密文blob发送到客户端
2. 在客户端，为了进行解密，我需要提供aws访问密钥和秘密密钥以及CMK来实现解密方法。

我的问题是：我们如何安全地存储此密钥而不将密钥暴露给客户端？