Een event-stream processing applicatie draait in een Amazon EKS cluster en schrijft resultaten naar Amazon DynamoDB. De containers moeten veilig toegang krijgen tot DynamoDB zonder AWS credentials in te sluiten. Welke oplossing voldoet aan deze vereiste?

De correcte oplossing is om een IAM role te koppelen aan de EKS worker nodes, deze role permissies te geven voor DynamoDB, en vervolgens IAM Roles for Service Accounts (IRSA) te configureren. IRSA stelt Kubernetes service accounts in staat om AWS IAM roles aan te nemen. Hierdoor kunnen individuele pods of applicaties binnen het EKS cluster specifieke AWS-rechten krijgen zonder dat AWS credentials direct in de containers hoeven te worden opgeslagen. Dit is de meest veilige en granulaire methode. Het opslaan van credentials in een S3 bucket of het gebruik van omgevingsvariabelen met IAM user access keys is minder veilig omdat de credentials dan expliciet aanwezig zijn en moeilijker te beheren zijn. Het opslaan van keys als Kubernetes Secrets is beter dan omgevingsvariabelen, maar IRSA biedt een nog veiligere en dynamischere oplossing door gebruik te maken van tijdelijke credentials en de principes van least privilege.