Un'azienda globale utilizza AWS Control Tower e dispone di un account DevOps centralizzato con pipeline CI/CD che vengono distribuite negli account delle applicazioni. Un progetto CodeBuild nell'account DevOps centralizzato utilizza un ruolo di servizio e tenta di distribuire un'applicazione in un cluster EKS in un account applicativo. La distribuzione fallisce con Unauthorized quando CodeBuild tenta di accedere al cluster EKS cross-account. Quale modifica risolverà l'errore di autorizzazione?

L'errore "Unauthorized" indica che il ruolo di servizio di CodeBuild non ha i permessi necessari per interagire con il cluster EKS nell'account dell'applicazione. La soluzione corretta prevede la creazione di un ruolo IAM nell'account dell'applicazione con una policy di trust che permetta al ruolo di CodeBuild (nell'account DevOps centralizzato) di assumerlo tramite sts:AssumeRole. Questo ruolo nell'account dell'applicazione deve poi avere le autorizzazioni necessarie per gestire il cluster EKS. Infine, per consentire l'accesso Kubernetes, questo ruolo deve essere mappato nella aws-auth ConfigMap del cluster EKS alle appropriate autorizzazioni di sistema Kubernetes. Le opzioni errate propongono soluzioni che non risolvono il problema di accesso cross-account a EKS o che utilizzano meccanismi di autenticazione non pertinenti (AssumeRoleWithSAML).