Uma empresa está construindo um cluster Amazon Elastic Kubernetes Service (Amazon EKS) para suas cargas de trabalho. Todos os segredos armazenados no Amazon EKS devem ser criptografados no armazenamento de chave-valor etcd do Kubernetes. Qual solução atenderá a esses requisitos?

A resposta correta é "Crie uma nova chave do AWS Key Management Service (AWS KMS). Habilite a criptografia de segredos KMS do Amazon EKS no cluster Amazon EKS." O Amazon EKS oferece a capacidade de usar chaves KMS gerenciadas pelo cliente para criptografar os segredos do Kubernetes armazenados no etcd. Ao habilitar a criptografia de segredos KMS, os dados confidenciais são protegidos em repouso. A opção "Crie uma nova chave do AWS Key Management Service (AWS KMS). Use o AWS Secrets Manager para gerenciar, rotacionar e armazenar todos os segredos no Amazon EKS" está incorreta porque, embora o Secrets Manager seja útil para gerenciar segredos de aplicações, ele não criptografa diretamente os segredos nativos do Kubernetes armazenados no etcd. A opção "Crie o cluster Amazon EKS com as opções padrão. Use o driver Amazon Elastic Block Store (Amazon EBS) Container Storage Interface (Amazon EBS CSI) como um add-on" está incorreta porque o driver EBS CSI é para provisionamento de volumes de armazenamento para pods e não para criptografia de segredos do Kubernetes. A opção "Crie uma nova chave do AWS Key Management Service (AWS KMS) com o alias /aws/ebs. Habilite a criptografia de volume padrão do Amazon Elastic Block Store (Amazon EBS) para a conta" está incorreta porque isso criptografa volumes EBS, não os segredos do Kubernetes no etcd.