一个 HPC 工作流使用 CodeBuild 构建容器镜像并将其推送到 ECR，然后将其部署到 EKS。为满足合规性要求，镜像在部署到 EKS 之前必须经过签名；签名密钥必须自动轮换，并且签名事件必须可归因于用户。哪种方法所需的操作工作量最少？

正确答案是“使用 CodeBuild 构建镜像，在将镜像推送到 ECR 之前使用 AWS Signer 对其进行签名，并使用 CloudTrail 记录签名生成者”。这种方法将签名步骤集成到 CodeBuild 流程中，在镜像推送到 ECR 之前完成签名，避免了额外的拉取和推送操作，操作工作量最少。AWS Signer 支持自动密钥轮换，并且与 CodeBuild 集成可以轻松实现自动化。CloudTrail 记录了 API 调用，包括签名操作，提供了可归因的用户信息。 其他选项涉及在镜像推送到 ECR 之后再拉取进行签名，这增加了额外的网络传输和处理步骤，增加了操作复杂性。使用 Lambda 函数进行签名会引入额外的计算和管理开销。CloudWatch 主要用于日志和监控，而 CloudTrail 更适合记录 API 事件以满足审计和可归因性要求。