Une entreprise utilise un cluster Amazon EKS et doit s'assurer que les comptes de service Kubernetes disposent d'un accès sécurisé et granulaire à des ressources AWS spécifiques à l'aide de rôles IAM pour les comptes de service (IRSA). Quelle combinaison de solutions répondra à ces exigences ? (Choisissez deux.)

Pour implémenter IRSA, vous devez d'abord établir une relation de confiance entre les rôles IAM et un fournisseur d'identité OpenID Connect (OIDC). EKS héberge un fournisseur OIDC unique pour chaque cluster, permettant aux comptes de service Kubernetes d'assumer des rôles IAM. Ensuite, vous définissez un rôle IAM avec les autorisations granulaires requises et annotez le compte de service Kubernetes avec l'ARN de ce rôle IAM. Cette annotation lie le compte de service au rôle IAM, permettant aux pods utilisant ce compte de service d'assumer le rôle et d'accéder aux ressources AWS spécifiées. Attacher la politique directement au rôle IAM des nœuds EKS donnerait à tous les pods du nœud les mêmes autorisations, violant le principe du moindre privilège. Les politiques réseau ne gèrent pas l'accès aux services AWS externes. Modifier le rôle IAM du cluster EKS pour chaque compte de service n'est pas la méthode standard ni la plus granulaire pour IRSA.