Firma uruchamia aplikację na klastrze Amazon Elastic Kubernetes Service (Amazon EKS) na instancjach Amazon EC2. Aplikacja posiada interfejs użytkownika (UI), który korzysta z Amazon DynamoDB, oraz usługi danych, które korzystają z Amazon S3. Firma musi zapewnić, że Pody EKS dla interfejsu użytkownika mogą uzyskiwać dostęp tylko do Amazon DynamoDB, a Pody EKS dla usług danych mogą uzyskiwać dostęp tylko do Amazon S3. Firma używa AWS Identity and Access Management (IAM). Które rozwiązanie spełnia te wymagania?

Prawidłowa odpowiedź to utworzenie oddzielnych kont usług Kubernetes dla interfejsu użytkownika i usług danych, które przyjmą role IAM. Następnie należy dołączyć odpowiednie polityki IAM (np. AmazonS3FullAccess i AmazonDynamoDBFullAccess) do tych kont usług. To rozwiązanie wykorzystuje IAM Roles for Service Accounts (IRSA), co pozwala na precyzyjne przypisanie uprawnień IAM do poszczegól Podów EKS, zapewniając, że Pody UI mają dostęp tylko do DynamoDB, a Pody usług danych tylko do S3. Pierwsza opcja jest nieprawidłowa, ponieważ dołączenie obu polityk do profilu instancji EC2 dałoby wszystkim Podom na tej instancji dostęp do obu usług, co narusza zasadę najmniejszych uprawnień. Druga opcja jest nieprawidłowa, ponieważ nie można bezpośrednio dołączać polityk IAM do Podów EKS. Trzecia opcja jest nieprawidłowa, ponieważ odwraca przypisanie dostępu, dając Podom UI dostęp do S3, a Podom usług danych do DynamoDB, co jest sprzeczne z wymaganiami.