Una empresa utiliza un clúster de Amazon EKS y debe garantizar que las cuentas de servicio de Kubernetes tengan acceso seguro y granular a recursos específicos de AWS utilizando roles de IAM para cuentas de servicio (IRSA). ¿Qué combinación de soluciones cumplirá estos requisitos? (Elija dos)

Para implementar IRSA, primero se debe establecer una relación de confianza entre los roles de IAM y un proveedor de identidad de OpenID Connect (OIDC). EKS crea un proveedor OIDC para cada clúster, lo que permite que los roles de IAM confíen en las identidades de las cuentas de servicio de Kubernetes. Luego, se define un rol de IAM con los permisos específicos necesarios para la aplicación. Finalmente, se anota la cuenta de servicio de Kubernetes con el ARN de este rol de IAM. Esto permite que los pods que usan esa cuenta de servicio asuman el rol de IAM y obtengan credenciales temporales para acceder a los recursos de AWS de forma segura y granular. Las opciones incorrectas son: Adjuntar políticas directamente al rol de IAM de los nodos de EKS otorgaría permisos excesivos a todos los pods en esos nodos, rompiendo la granularidad. Las políticas de red de EKS controlan el tráfico dentro del clúster, no el acceso a los servicios de AWS. Modificar el rol del clúster de EKS para cada cuenta de servicio no es la práctica recomendada para IRSA y sería inmanejable a escala.