Um aplicativo de processamento de fluxo de eventos é executado em um cluster Amazon EKS e grava os resultados no Amazon DynamoDB. Os contêineres devem acessar o DynamoDB com segurança, sem incorporar credenciais da AWS. Qual solução satisfaz esse requisito?

A solução correta é anexar uma função do IAM aos nós de trabalho do EKS e usar o IAM Roles for Service Accounts (IRSA). O IRSA permite que as contas de serviço do Kubernetes assumam uma função do IAM, concedendo permissões específicas aos pods que usam essa conta de serviço. Isso elimina a necessidade de gerenciar credenciais diretamente nos contêineres, pois o EKS gerencia a troca de tokens de credenciais do IAM. Armazenar credenciais no S3 é inseguro e adiciona complexidade desnecessária. Criar um usuário do IAM com chaves de acesso e fornecê-las via variáveis de ambiente ou Kubernetes Secrets são práticas menos seguras, pois as credenciais estáticas podem ser expostas e exigem rotação manual, aumentando o risco de segurança. O IRSA é a abordagem recomendada para conceder permissões refinadas e seguras a pods em clusters EKS.