Um pipeline de CI/CD cria imagens de contêiner, as envia para o Amazon ECR e, em seguida, as implanta em um namespace de desenvolvimento do EKS para testes dinâmicos. A equipe deseja adicionar um estágio de análise de imagem mais cedo no pipeline para verificar as imagens antes de implantar no EKS. Qual solução oferece a maior eficiência operacional?

A opção correta integra a verificação de segurança no pipeline de CI/CD, utilizando recursos nativos da AWS. Ao adicionar um estágio do CodePipeline após a criação da imagem e habilitar a verificação básica do ECR no push, a imagem é automaticamente verificada assim que é enviada. Uma função Lambda pode então ser usada para analisar os resultados da verificação do ECR e interromper o pipeline se vulnerabilidades forem detectadas, garantindo que imagens inseguras não sejam implantadas. Isso automatiza o processo e o torna parte integrante do fluxo de trabalho. A criação local de imagens e o docker scan antes do push dependem da disciplina do desenvolvedor e não garantem que todas as imagens enviadas sejam verificadas. A verificação do código-fonte é importante, mas não aborda vulnerabilidades introduzidas em dependências ou na imagem base do contêiner. A modificação do estágio de implantação para verificar antes da implantação é tarde demais; a imagem já foi criada e enviada, e o objetivo é falhar mais cedo no pipeline.