Bir şirket Amazon EKS kümesi kullanıyor ve Kubernetes hizmet hesaplarının, hizmet hesapları için IAM rolleri (IRSA) kullanarak belirli AWS kaynaklarına güvenli, ayrıntılı erişime sahip olmasını sağlamalıdır. Bu gereksinimleri karşılayacak çözüm kombinasyonu hangisidir? (İki tane seçin.)

Doğru cevaplar, Hizmet Hesapları için IAM Rolleri (IRSA) mekanizmasının temel adımlarını açıklar. İlk olarak, Kubernetes hizmet hesaplarının AWS kaynaklarına erişmek için kullanacağı gerekli izinleri içeren bir IAM rolü tanımlanır. İkinci olarak, bu IAM rolü ile bir OpenID Connect (OIDC) kimlik sağlayıcısı arasında bir güven ilişkisi kurulur. Bu, Kubernetes'in AWS IAM'e kimlik doğrulaması yapmasına olanak tanır. Son olarak, Kubernetes hizmet hesapları, açıklama (annotation) yoluyla ilgili IAM rolünün ARN'si ile ilişkilendirilir. Bu sayede, hizmet hesapları AWS API çağrıları yaparken geçici kimlik bilgileri alabilir. Yanlış seçeneklerden ilki, izinleri doğrudan EKS düğümlerinin IAM rolüne eklemeyi önerir ki bu, en az ayrıcalık ilkesini ihlal eder ve güvenlik riskleri oluşturur. İkinci seçenek olan ağ politikaları, AWS kaynaklarına erişimi engellemek yerine Kubernetes içindeki pod'lar arası iletişimi kontrol eder ve bu senaryo için uygun değildir. Üçüncü seçenek, EKS kümesinin IAM rolünü değiştirmeyi ve birebir eşleme yapmayı önerir, ancak IRSA, her Kubernetes hizmet hesabı için ayrıntılı izinler sağlamak için tasarlanmıştır, küme rolünü genel olarak değiştirmek yerine.