Ein Unternehmen betreibt eine Anwendung auf einem Amazon Elastic Kubernetes Service (Amazon EKS)-Cluster auf Amazon EC2-Instanzen. Die Anwendung verfügt über eine Benutzeroberfläche, die Amazon DynamoDB verwendet, und Datendienste, die Amazon S3 nutzen. Das Unternehmen muss sicherstellen, dass die EKS-Pods für die Benutzeroberfläche nur auf Amazon DynamoDB zugreifen können und dass die EKS-Pods für die Datendienste nur auf Amazon S3 zugreifen können. Das Unternehmen verwendet AWS Identity and Access Management (IAM). Welche Lösung erfüllt diese Anforderungen?

Die korrekte Lösung ist, separate Kubernetes-Servicekonten zu erstellen und diesen IAM-Rollen zuzuweisen, die spezifische Berechtigungen für S3 und DynamoDB haben. Dies wird als IAM Roles for Service Accounts (IRSA) bezeichnet und ermöglicht eine feingranulare Zugriffskontrolle auf AWS-Ressourcen direkt von den EKS-Pods aus, ohne die Berechtigungen der zugrunde liegenden EC2-Instanzen zu erweitern. Die erste Option ist falsch, da das Anfügen beider Richtlinien an das EC2-Instanzprofil beiden Pod-Typen Zugriff auf beides geben würde, was die Anforderung der Trennung verletzt. RBAC steuert den Zugriff innerhalb von Kubernetes, nicht auf AWS-Ressourcen. Die zweite Option ist technisch nicht möglich, da IAM-Richtlinien nicht direkt an EKS-Pods angehängt werden können. Die vierte Option ist falsch, da sie die Berechtigungen vertauscht: UI-Pods sollen auf DynamoDB zugreifen, nicht S3, und Datendienst-Pods auf S3, nicht DynamoDB.