Uma empresa armazena imagens de contêiner no Amazon Elastic Container Registry (Amazon ECR). Cada nova versão de imagem recebe uma tag exclusiva. A empresa precisa de um processo automatizado que escaneie as imagens recém-enviadas em busca de vulnerabilidades e exposições comuns (CVEs), exclua automaticamente as tags de imagem que tenham descobertas de severidade Crítica ou Alta e notifique a equipe de desenvolvimento quando tais exclusões ocorrerem. Qual solução satisfaz esses requisitos?

A opção correta atende a todos os requisitos. Habilitar o scan-on-push no ECR garante que as imagens sejam verificadas automaticamente na subida. O Amazon EventBridge pode detectar o evento de conclusão do scan com descobertas Críticas ou Altas e invocar uma máquina de estado do Step Functions. O Step Functions é ideal para orquestrar fluxos de trabalho complexos, como excluir tags de imagem e enviar notificações via Amazon SNS, que é um serviço de mensagens pub/sub escalável e adequado para notificar equipes de desenvolvimento. As opções incorretas falham em algum requisito: A segunda opção usa SQS e Lambda, mas o Lambda pode ter limitações de tempo de execução e o Step Functions oferece melhor orquestração para múltiplos passos. O SES é para e-mail, enquanto o SNS é mais flexível para notificações. A terceira opção usa um scan manual agendado, o que não atende ao requisito de escanear "imagens recém-enviadas" automaticamente. A quarta opção usa scan periódico, que também não é "scan-on-push", e o SES tem um propósito diferente do SNS para notificações gerais.