Компания использует кластер Amazon EKS и должна обеспечить безопасный, детализированный доступ учетных записей служб Kubernetes к определенным ресурсам AWS с использованием ролей IAM для учетных записей служб (IRSA). Какая комбинация решений удовлетворит этим требованиям? (Выберите два.)

Для реализации IRSA (IAM Roles for Service Accounts) в Amazon EKS необходимо выполнить два ключевых шага. Во-первых, нужно определить роль IAM с необходимыми разрешениями и аннотировать учетные записи служб Kubernetes (Service Accounts) с помощью ARN этой IAM-роли. Это связывает конкретную учетную запись службы Kubernetes с определенной ролью IAM. Во-вторых, требуется настроить доверительные отношения между IAM-ролями для учетных записей служб и поставщиком удостоверений OpenID Connect (OIDC) вашего кластера EKS. Это позволяет учетным записям служб получать временные учетные данные AWS, используя OIDC-токены. Неправильные варианты: Присоединение политики непосредственно к роли IAM узлов EKS предоставит всем подам на этих узлах одинаковые разрешения, что нарушает принцип наименьших привилегий и не обеспечивает детализированный доступ для отдельных учетных записей служб. Сетевые политики внутри кластера EKS контролируют сетевой трафик между подами, но не управляют доступом к ресурсам AWS. Изменение роли IAM кластера EKS для включения разрешений для каждой учетной записи службы Kubernetes не является масштабируемым решением и не использует механизм IRSA, который предназначен для сопоставления ролей IAM с отдельными Service Accounts.