Netflix связала AWS IAM с внутренней идентификацией через аттестацию нагрузок

Netflix разработала механизм аттестации нагрузок: Spark-задачи на Amazon EMR обменивают свою роль AWS IAM на короткоживущую внутреннюю идентичность в PKI Metatron. Драйвер проходит аттестацию один раз и раздаёт сертификаты исполнителям через зашифрованный Spark RPC, а роли Data Projects распределены по пулу выделенных AWS-аккаунтов.

• Data Projects сопоставлены с отдельными ролями IAM, распределёнными по пулу AWS-аккаунтов
• Identity-сервис сверяет ответ AWS STS GetCallerIdentity с подписанными метаданными control plane
• Драйвер аттестуется один раз и раздаёт учётные данные исполнителям через Spark RPC
• Драйвер периодически проходит повторную аттестацию до истечения короткоживущего сертификата