A Contoso Retail usa o Amazon ECR e faz deployments para o Amazon ECS. As normas de segurança exigem que nenhuma imagem com CVEs (Common Vulnerabilities and Exposures) de nível Alto ou Crítico possa ser promovida para produção. Eles desejam uma aplicação automatizada em seu pipeline de CI/CD com o mínimo de etapas manuais. Qual combinação de ações atenderá a esses requisitos? (Escolha duas.)

A habilitação do escaneamento aprimorado do Amazon ECR (Amazon Inspector) com "scan on push" garante que cada nova imagem enviada ao repositório seja automaticamente verificada em busca de vulnerabilidades. Isso fornece a base para identificar CVEs de nível Alto ou Crítico. Adicionar um estágio no CodeBuild que consulta os resultados do scan do Inspector/ECR para o image digest e falha a build se existirem descobertas de nível Alto/Crítico automatiza a aplicação da política de segurança. Isso impede que imagens vulneráveis avancem no pipeline de CI/CD para produção, atendendo ao requisito de "mínimo de etapas manuais". A opção de bloquear pulls de imagem no ECR não é ideal porque a imagem já estaria no repositório, e o bloqueio afetaria pulls legítimos para ambientes de desenvolvimento ou teste. O circuit breaker de deployment do ECS atua apenas no momento do deployment, o que é tarde demais para prevenir a promoção de imagens vulneráveis. As políticas de ciclo de vida do ECR são para gerenciamento de imagens e não para bloqueio de deployment baseado em vulnerabilidades.