Компания запускает приложение в кластере Amazon Elastic Kubernetes Service (Amazon EKS) на инстансах Amazon EC2. Приложение имеет пользовательский интерфейс (UI), который использует Amazon DynamoDB, и сервисы данных, которые используют Amazon S3. Компания должна гарантировать, что поды EKS для UI могут получать доступ только к Amazon DynamoDB, а поды EKS для сервисов данных могут получать доступ только к Amazon S3. Компания использует AWS Identity and Access Management (IAM). Какое решение соответствует этим требованиям?

Правильный ответ — создание отдельных учетных записей служб Kubernetes (KSA) для UI и сервисов данных, которые могут принимать роли IAM. Затем к KSA сервисов данных прикрепляется политика AmazonS3FullAccess, а к KSA UI — политика AmazonDynamoDBFullAccess. Это решение использует IAM Roles for Service Accounts (IRSA), позволяя подам EKS получать временные учетные данные AWS IAM, специфичные для их KSA, без предоставления широких разрешений базовым инстансам EC2. Это обеспечивает гранулированный контроль доступа: поды UI могут обращаться только к DynamoDB, а поды сервисов данных — только к S3. Первый вариант неверен, потому что прикрепление обеих политик IAM к профилю инстанса EC2 предоставит всем подам на этом инстансе доступ как к S3, так и к DynamoDB, нарушая принцип наименьших привилегий. Второй вариант неверен, так как напрямую прикрепить политики IAM к подам EKS невозможно. Четвертый вариант неверен, потому что он предлагает предоставить подам UI доступ к S3, а подам сервисов данных — к DynamoDB, что противоречит требованиям задачи.