Uma empresa com centenas de contas AWS em uma AWS Organization enviará imagens Docker para o Amazon ECR. Somente as contas dentro da Organization devem acessar as imagens. O pipeline de CI/CD da empresa é executado com frequência; a empresa deseja reter todas as imagens marcadas (tagged), mas manter apenas as cinco imagens não marcadas (untagged) mais recentes. Qual abordagem atende a esses requisitos com a MENOR sobrecarga operacional?

A opção correta utiliza um repositório privado do Amazon ECR, que é o padrão para armazenar imagens Docker com controle de acesso. A política de permissões de repositório com a condição aws:PrincipalOrgID garante que apenas as contas dentro da AWS Organization possam acessar as imagens, atendendo ao requisito de segurança de forma escalável, sem precisar enumerar contas individualmente. As regras de ciclo de vida do ECR gerenciam automaticamente a retenção de imagens (todas as marcadas e as cinco mais recentes não marcadas), minimizando a sobrecarga operacional. As opções incorretas são: Repositório público do ECR não é adequado para imagens privadas e a abordagem de função IAM para acesso é mais complexa do que uma política de repositório. Enumerar todos os IDs de conta na política de permissões é inviável e não escalável para centenas de contas, além de a função Lambda para limpeza ser uma sobrecarga operacional maior do que as regras de ciclo de vida nativas do ECR. Repositório público e endpoint de VPC não são a melhor combinação para este caso, e a função Lambda para limpeza novamente aumenta a sobrecarga.