Zespół bezpieczeństwa przeprowadza audyt dwóch aplikacji wdrożonych w dwóch klastrach EKS, które używają Amazon VPC CNI. Klastry znajdują się w różnych podsieciach tej samej VPC i używają Cluster Autoscaler. Zespół musi określić, które adresy IP podów komunikują się z którymi usługami w całej VPC, ale chce ograniczyć liczbę logów przepływu i zbierać ruch tylko dla tych dwóch aplikacji. Które podejście spełnia wymagania przy NAJMNIEJSZYM nakładzie operacyjnym?

Poprawna odpowiedź minimalizuje nakład operacyjny, ponieważ tworzy logi przepływu VPC tylko dla podsieci, w których znajdują się aplikacje. Ustawienie podsieci jako zasobu docelowego logów przepływu VPC pozwala na precyzyjne zbieranie danych tylko z interesujących nas obszarów, bez konieczności filtrowania dużej ilości niepotrzebnych logów z całej VPC lub poszczególnych węzłów. Użycie niestandardowego formatu z polami pkt-srcaddr i pkt-dstaddr jest kluczowe, ponieważ te pola rejestrują adresy IP źródłowe i docelowe pakietów, a nie interfejsów sieciowych, co jest niezbędne do identyfikacji komunikacji między podami w EKS, które używają CNI VPC i mają własne adresy IP. Pozostałe opcje są mniej optymalne: Tworzenie logów przepływu dla całej VPC i filtrowanie ich później jest nieefektywne i generuje większe koszty. Ustawienie węzłów EKS jako zasobu docelowego logów przepływu nie jest wystarczające, ponieważ węzły mogą hostować również inne pody lub usługi, które nie należą do audytowanych aplikacji. Użycie domyślnego formatu logów przepływu VPC nie zawiera pól pkt-srcaddr i pkt-dstaddr, które są niezbędne do śledzenia komunikacji na poziomie poda w EKS.