Ein Unternehmen verwendet einen Amazon EKS-Cluster und muss sicherstellen, dass Kubernetes-Servicekonten einen sicheren, detaillierten Zugriff auf bestimmte AWS-Ressourcen unter Verwendung von IAM-Rollen für Servicekonten (IRSA) haben. Welche Kombination von Lösungen erfüllt diese Anforderungen? (Wählen Sie zwei.)

Um detaillierten Zugriff auf AWS-Ressourcen für Kubernetes-Servicekonten mit IRSA zu ermöglichen, müssen Sie zunächst eine IAM-Rolle mit den erforderlichen Berechtigungen definieren und diese IAM-Rolle dann mit dem ARN des Kubernetes-Servicekontos annotieren. Dies stellt sicher, dass das Servicekonto die spezifischen Berechtigungen der IAM-Rolle erbt. Zweitens ist es entscheidend, eine Vertrauensstellung zwischen den IAM-Rollen und einem OpenID Connect (OIDC)-Identitätsanbieter einzurichten. EKS verwendet OIDC, um die Identität der Kubernetes-Servicekonten zu authentifizieren und ihnen die Übernahme der zugeordneten IAM-Rollen zu ermöglichen. Das direkte Anhängen einer Richtlinie an die IAM-Rolle der EKS-Knoten würde allen Pods auf diesen Knoten die Berechtigungen erteilen, was gegen das Prinzip der geringsten Rechte verstößt. Netzwerkrichtlinien steuern den Netzwerkverkehr innerhalb des Clusters, aber nicht den Zugriff auf AWS-Dienste. Die Änderung der IAM-Rolle des EKS-Clusters, um Berechtigungen für jedes Servicekonto aufzunehmen, ist nicht praktikabel und skaliert schlecht; IRSA wurde entwickelt, um dies zu vermeiden.