Un'applicazione di elaborazione di stream di eventi è in esecuzione in un cluster Amazon EKS e scrive i risultati su Amazon DynamoDB. I container devono accedere a DynamoDB in modo sicuro senza incorporare le credenziali AWS. Quale soluzione soddisfa questo requisito?

La soluzione corretta è "Allegare un ruolo IAM ai nodi worker EKS, concedere a tale ruolo le autorizzazioni per accedere a DynamoDB e utilizzare il ruolo per configurare IAM Roles for Service Accounts (IRSA)". IRSA (IAM Roles for Service Accounts) è il metodo più sicuro e consigliato per consentire ai pod EKS di accedere ai servizi AWS. Assegna ruoli IAM specifici ai Service Account Kubernetes, che vengono poi utilizzati dai pod. Questo elimina la necessità di gestire credenziali all'interno dei container o di concedere autorizzazioni eccessive ai nodi worker. Le altre opzioni sono meno sicure o non conformi alle best practice: Archiviare le credenziali in un bucket S3 e recuperarle dai container EKS espone le credenziali e richiede una gestione aggiuntiva. Creare un utente IAM con chiavi di accesso e fornirle tramite variabili d'ambiente o Kubernetes Secrets è meno sicuro perché le credenziali sono statiche e possono essere esposte se l'ambiente o i segreti non sono gestiti correttamente. Inoltre, non offre la granularità di IRSA, che associa i permessi direttamente ai Service Account.