Una empresa ejecuta una aplicación en un clúster de Amazon Elastic Kubernetes Service (Amazon EKS) en instancias de Amazon EC2. La aplicación tiene una interfaz de usuario que utiliza Amazon DynamoDB y servicios de datos que utilizan Amazon S3. La empresa debe asegurarse de que los Pods de EKS para la interfaz de usuario solo puedan acceder a Amazon DynamoDB y que los Pods de EKS para los servicios de datos solo puedan acceder a Amazon S3. La empresa utiliza AWS Identity and Access Management (IAM). ¿Qué solución cumple estos requisitos?

La opción correcta es crear cuentas de servicio de Kubernetes separadas para la interfaz de usuario y los servicios de datos, cada una asumiendo un rol de IAM específico. Esto permite adjuntar políticas de IAM granulares (AmazonS3FullAccess para los servicios de datos y AmazonDynamoDBFullAccess para la interfaz de usuario) directamente a los Pods a través de sus cuentas de servicio, utilizando IAM Roles for Service Accounts (IRSA). Esto garantiza que cada Pod solo tenga los permisos necesarios para los recursos de AWS que utiliza, adhiriéndose al principio de privilegio mínimo. La primera opción es incorrecta porque adjuntar ambas políticas al perfil de instancia de EC2 daría a todos los Pods que se ejecutan en esa instancia acceso a ambos servicios, lo que viola el requisito de acceso granular. La segunda opción es incorrecta porque no se pueden adjuntar políticas de IAM directamente a los Pods de EKS; se hace a través de roles de IAM asumidos por cuentas de servicio. La cuarta opción es incorrecta porque invierte los permisos, dando acceso a S3 a la interfaz de usuario y a DynamoDB a los servicios de datos, lo cual es opuesto a los requisitos del problema.