Phân biệt nhanh
Nhiều dịch vụ có vẻ phù hợp để chạy container hoặc tác vụ nền; phân biệt được chúng giúp chọn đúng dịch vụ cho từng tình huống.
Một số dịch vụ và tính năng trông giống phương án đúng trong các tình huống của bài. Chọn từng mục để xem khi nào nên dùng và vì sao không phù hợp:
Cấp quyền thao tác đối tượng Kubernetes (Pod, Deployment, Secret…) cho người dùng và workload trong cluster. Trên EKS, IAM principal được gán quyền Kubernetes qua access entries, bằng access policy hoặc Kubernetes group kết hợp RBAC.
Vì sao không chọn trong tình huống nàyPod giao diện chỉ được truy cập DynamoDB, Pod xử lý dữ liệu chỉ được truy cập S3: đây là quyền gọi AWS API, RBAC không kiểm soát được. Khi policy gắn vào IAM role của node, mọi Pod trên node đều kế thừa.
Phương án phù hợpMỗi service một service account, ánh xạ tới IAM role chỉ có quyền cần thiết qua IRSA hoặc EKS Pod Identity (phần 2).
Quick comparison
Several services seem suitable for running containers or background jobs; telling them apart helps you pick the right one for each case.
Some services and features look like the right choice in this lesson’s situations. Pick each one to see when to use it and why it does not fit:
Grants users and workloads permissions on Kubernetes objects (Pods, Deployments, Secrets…) in the cluster. On EKS, IAM principals get Kubernetes permissions through access entries, with an access policy or a Kubernetes group combined with RBAC.
Vì sao không chọn trong tình huống nàyUI Pods may reach only DynamoDB and data-processing Pods only S3: these are permissions on AWS APIs, which RBAC does not control. When the policies are attached to the node IAM role, every Pod on the node inherits them.
Phương án phù hợpOne service account per service, mapped to an IAM role with only the required permissions through IRSA or EKS Pod Identity (part 2).