Una aplicación de procesamiento de flujo de eventos se ejecuta en un clúster de Amazon EKS y escribe los resultados en Amazon DynamoDB. Los contenedores deben acceder a DynamoDB de forma segura sin incrustar credenciales de AWS. ¿Qué solución satisface este requisito?

La opción correcta es adjuntar un rol de IAM a los nodos de trabajo de EKS y usar IAM Roles for Service Accounts (IRSA). IRSA permite que los pods de EKS asuman un rol de IAM específico, otorgándoles permisos detallados para acceder a los servicios de AWS como DynamoDB sin necesidad de credenciales incrustadas. Esto mejora la seguridad al proporcionar credenciales temporales y rotadas automáticamente, siguiendo el principio de privilegio mínimo. Almacenar credenciales en S3 (opción incorrecta) es inseguro y no es una práctica recomendada para la gestión de credenciales en aplicaciones. Usar variables de entorno o Kubernetes Secrets (opciones incorrectas) para claves de acceso estáticas de un usuario de IAM también es menos seguro, ya que estas credenciales son de larga duración y presentan un riesgo si se exponen. IRSA es la solución más segura y recomendada por AWS para este escenario.