Uma empresa executa um aplicativo em um cluster Amazon Elastic Kubernetes Service (Amazon EKS) em instâncias Amazon EC2. O aplicativo possui uma UI que usa Amazon DynamoDB e serviços de dados que usam Amazon S3. A empresa deve garantir que os Pods do EKS para a UI possam acessar apenas o Amazon DynamoDB e que os Pods do EKS para os serviços de dados possam acessar apenas o Amazon S3. A empresa usa o AWS Identity and Access Management (IAM). Qual solução atende a esses requisitos?

A opção correta é criar contas de serviço Kubernetes separadas para a UI e os serviços de dados, cada uma assumindo uma função do IAM. A política AmazonS3FullAccess deve ser anexada à conta de serviço dos serviços de dados e a política AmazonDynamoDBFullAccess à conta de serviço da UI. Isso garante que cada tipo de Pod tenha apenas as permissões necessárias para acessar o serviço AWS correspondente, seguindo o princípio do privilégio mínimo. A primeira opção está incorreta porque anexar ambas as políticas ao perfil da instância EC2 daria a todos os Pods acesso a ambos os serviços, violando o requisito de acesso segregado. A segunda opção está incorreta porque não é possível anexar políticas do IAM diretamente aos Pods do EKS; as permissões são gerenciadas através de contas de serviço e perfis do IAM. A quarta opção está incorreta porque inverte as permissões, concedendo acesso ao S3 para a UI e ao DynamoDB para os serviços de dados, o oposto do que é exigido.