Global bir şirket AWS Control Tower kullanıyor ve uygulama hesaplarına dağıtım yapan CI/CD işlem hatlarına sahip merkezi bir DevOps hesabına sahip. Merkezi DevOps hesabındaki bir CodeBuild projesi bir hizmet rolü kullanıyor ve bir uygulamayı bir uygulama hesabındaki bir EKS kümesine dağıtmaya çalışıyor. CodeBuild, hesaplar arası EKS kümesine erişmeye çalıştığında dağıtım Unauthorized hatasıyla başarısız oluyor. Yetkilendirme hatasını hangi değişiklik düzeltecektir?

Doğru seçenek, hesaplar arası erişim için gerekli tüm adımları içerir. Merkezi DevOps hesabındaki CodeBuild'in uygulama hesabındaki EKS kümesine dağıtım yapabilmesi için, uygulama hesabında bir IAM rolü oluşturulmalı veya güncellenmelidir. Bu rolün güven politikası, merkezi DevOps hesabının sts:AssumeRole çağrısı yapmasına izin vermelidir. Ayrıca, bu role EKS kümesine dağıtım yapmak için gerekli izinler (örneğin, eks:DescribeCluster, eks:UpdateClusterConfig, ecr:GetAuthorizationToken, ecr:BatchCheckLayerAvailability, ecr:GetDownloadUrlForLayer, ecr:BatchGetImage) verilmelidir. Son olarak, EKS kümesinin aws-auth ConfigMap'i, bu IAM rolünü uygun Kubernetes kullanıcı ve grup izinleriyle eşleştirerek Kubernetes API'sine erişimi yetkilendirmelidir. Diğer seçenekler eksiktir veya yanlış yönlendirmeler içerir: Merkezi DevOps hesabında rolü değiştirmek, uygulama hesabındaki EKS kümesine erişim yetkisi sağlamaz. sts:AssumeRoleWithSAML kullanmak, bu senaryo için uygun bir kimlik doğrulama yöntemi değildir; genellikle federasyon için kullanılır. AWS Control Tower yönetim hesabına güvenmek, doğrudan uygulama hesabındaki EKS erişimini sağlamaz ve gereksiz bir adımdır.