Een bedrijf draait een applicatie op een Amazon Elastic Kubernetes Service (Amazon EKS)-cluster op Amazon EC2-instances. De applicatie heeft een UI die Amazon DynamoDB gebruikt en dataservices die Amazon S3 gebruiken. Het bedrijf moet ervoor zorgen dat de EKS Pods voor de UI alleen toegang hebben tot Amazon DynamoDB en dat de EKS Pods voor de dataservices alleen toegang hebben tot Amazon S3. Het bedrijf gebruikt AWS Identity and Access Management (IAM). Welke oplossing voldoet aan deze vereisten?

De juiste oplossing is om afzonderlijke Kubernetes service accounts te maken voor de UI- en dataservices, die elk een specifieke IAM-rol aannemen. Door IAM Roles for Service Accounts (IRSA) te gebruiken, kunnen de EKS Pods die aan deze service accounts zijn gekoppeld, de permissies van de toegewezen IAM-rol overnemen. Dit zorgt voor fijnmazige, minimale permissies: de UI-pods krijgen alleen toegang tot DynamoDB via hun service account met de AmazonDynamoDBFullAccess policy, en de dataservice-pods krijgen alleen toegang tot S3 via hun service account met de AmazonS3FullAccess policy. De eerste optie is incorrect omdat het koppelen van beide IAM policies aan het EC2-instanceprofiel betekent dat alle pods op die instance toegang hebben tot zowel S3 als DynamoDB, wat in strijd is met het principe van minimale permissies. De tweede optie is incorrect omdat IAM policies niet rechtstreeks aan EKS Pods kunnen worden gekoppeld; IAM werkt met IAM-rollen die door entiteiten (zoals service accounts) worden aangenomen. De vierde optie is incorrect omdat het de toegang omdraait: de UI-pods zouden S3-toegang krijgen en de dataservices-pods DynamoDB-toegang, wat niet overeenkomt met de vereisten.