Aplikacja przetwarzająca strumienie zdarzeń działa w klastrze Amazon EKS i zapisuje wyniki do Amazon DynamoDB. Kontenery muszą bezpiecznie uzyskiwać dostęp do DynamoDB bez osadzania poświadczeń AWS. Które rozwiązanie spełnia ten wymóg?

Poprawna odpowiedź to dołączenie roli IAM do węzłów roboczych EKS, przyznanie tej roli uprawnień dostępu do DynamoDB i użycie tej roli do skonfigurowania IAM Roles for Service Accounts (IRSA). IRSA to zalecany sposób na bezpieczne przypisywanie uprawnień IAM do kontenerów w Amazon EKS. Pozwala to na precyzyjne zarządzanie uprawnieniami na poziomie Service Account, bez konieczności osadzania poświadczeń w kontenerach ani nadawania szerokich uprawnień wszystkim pods na węźle. Przechowywanie poświadczeń w Amazon S3 jest mniej bezpieczne i wymaga dodatkowego zarządzania. Tworzenie użytkownika IAM z kluczami dostępu i dostarczanie ich przez zmienne środowiskowe lub Kubernetes Secrets jest również mniej bezpieczne, ponieważ klucze są osadzone lub przechowywane w klastrze, co zwiększa ryzyko ich wycieku. IRSA eliminuje potrzebę ręcznego zarządzania kluczami dostępu.