Ein Sicherheitsteam prüft zwei Anwendungen, die über zwei EKS-Cluster bereitgestellt werden und Amazon VPC CNI verwenden. Die Cluster befinden sich in verschiedenen Subnetzen derselben VPC und verwenden Cluster Autoscaler. Das Team muss ermitteln, welche Pod-IPs mit welchen Services in der VPC kommunizieren, möchte aber die Anzahl der Flow Logs begrenzen und nur den Datenverkehr für die beiden Anwendungen erfassen. Welcher Ansatz erfüllt die Anforderungen mit dem geringsten Betriebsaufwand?

Die korrekte Option erfüllt die Anforderungen am besten, da sie VPC Flow Logs auf Subnetzebene konfiguriert, was den Betriebsaufwand minimiert, da keine einzelnen Knoten verfolgt werden müssen. Die Verwendung eines benutzerdefinierten Formats mit pkt-srcaddr und pkt-dstaddr ist entscheidend, um die tatsächlichen Pod-IP-Adressen zu erfassen, da Amazon VPC CNI Pods direkt IP-Adressen aus dem VPC-Subnetz zuweist. Die Beschränkung auf die Subnetze der Anwendungen reduziert die Menge der erfassten Logs erheblich. Die anderen Optionen sind weniger geeignet: Das Sammeln von Flow Logs nur von EKS-Knoten ohne pkt-srcaddr und pkt-dstaddr würde nur die IP-Adressen der Knoten, nicht der Pods, anzeigen. Das Festlegen von EKS-Knoten als Ressource erfordert mehr Verwaltungsaufwand, da Knoten dynamisch hinzugefügt oder entfernt werden können. Ein Filter auf EKS-Knoten ohne die richtigen Felder würde ebenfalls die Pod-IPs nicht erfassen.