Um fluxo de trabalho de HPC cria imagens de contêiner com o CodeBuild e as envia para o ECR, e então as implanta no EKS. Para atender à conformidade, as imagens devem ser assinadas antes da implantação no EKS; as chaves de assinatura devem ser rotacionadas automaticamente e os eventos de assinatura devem ser atribuíveis aos usuários. Qual abordagem exige o menor esforço operacional?

A opção correta minimiza o esforço operacional ao integrar a assinatura de imagens diretamente no fluxo de trabalho de construção do CodeBuild, antes de enviá-las para o ECR. O AWS Signer é a ferramenta nativa da AWS para assinatura de código, incluindo imagens de contêiner, e oferece rotação automática de chaves, atendendo ao requisito de conformidade. O CloudTrail registra todas as chamadas de API feitas para o AWS Signer, fornecendo a rastreabilidade necessária para atribuir eventos de assinatura aos usuários. As outras opções são menos eficientes ou não atendem a todos os requisitos. Puxar uma imagem do ECR para assiná-la e depois enviá-la novamente adiciona etapas desnecessárias. Usar uma função Lambda para assinar a imagem introduz complexidade adicional na gestão do código de assinatura e na rotação de chaves, além de não ser a ferramenta nativa otimizada para essa finalidade. O CloudWatch é para monitoramento e logs de eventos, mas o CloudTrail é a ferramenta específica para auditoria e atribuição de ações de usuários na AWS.