Uma empresa deseja que a varredura de vulnerabilidades em nível de sistema operacional e de pacotes de linguagem seja integrada ao seu pipeline de CI/CD, de modo que apenas imagens sem descobertas CRITICAL ou HIGH cheguem à produção. O pipeline é CodePipeline com CodeBuild, CodeDeploy e um repositório ECR. Qual combinação de etapas consegue isso? (Escolha duas.)

A varredura aprimorada do Amazon ECR (Amazon Inspector) é a opção correta porque oferece varredura de vulnerabilidades em nível de sistema operacional e de pacotes de linguagem, atendendo aos requisitos. A varredura básica do ECR é limitada e não cobre pacotes de linguagem. Para integrar isso ao pipeline de CI/CD, é necessário um mecanismo para ler os resultados da varredura e tomar uma decisão. Uma regra do EventBridge que aciona uma função Lambda é a solução ideal. A função Lambda pode consultar os resultados do Amazon Inspector e, com base neles, enviar um status Approved ou Rejected de volta ao CodePipeline, interrompendo o pipeline se forem encontradas vulnerabilidades CRITICAL ou HIGH. O ECR não envia automaticamente um status Rejected ao pipeline; essa lógica precisa ser implementada. Clair é uma ferramenta de código aberto e não está diretamente integrada ao ECR como o Amazon Inspector.