Uma empresa global usa o AWS Control Tower e tem uma conta DevOps centralizada com pipelines de CI/CD que fazem deploy em contas de aplicação. Um projeto CodeBuild na conta DevOps centralizada usa uma função de serviço e tenta fazer deploy de uma aplicação em um cluster EKS em uma conta de aplicação. O deploy falha com "Unauthorized" quando o CodeBuild tenta acessar o cluster EKS entre contas. Qual mudança corrigirá o erro de autorização?

Para que o CodeBuild na conta DevOps centralizada possa acessar o cluster EKS na conta de aplicação, é necessário que a função de serviço do CodeBuild possa assumir uma função IAM na conta de aplicação. A opção correta descreve esse processo: a política de confiança da função IAM na conta de aplicação deve permitir que a conta DevOps centralizada (ou a função específica nela) assuma essa função (sts:AssumeRole). Além disso, essa função na conta de aplicação precisa ter as permissões necessárias para interagir com o EKS e ser mapeada no aws-auth ConfigMap do cluster EKS para conceder as permissões Kubernetes apropriadas. As outras opções estão incorretas porque tentam modificar a confiança na conta errada, usam um método de assunção de função inadequado (SAML) ou envolvem a conta de gerenciamento do Control Tower de forma incorreta para esta finalidade.