Contoso Retail verwendet Amazon ECR und stellt in Amazon ECS bereit. Sicherheitsvorschriften besagen, dass kein Image mit hohen oder kritischen CVEs in die Produktion übernommen werden darf. Sie möchten eine automatisierte Durchsetzung in ihrer CI/CD-Pipeline mit minimalen manuellen Schritten. Welche Kombination von Aktionen erfüllt diese Anforderungen? (Wählen Sie zwei.)

Die Aktivierung von Amazon ECR Enhanced Scanning (Amazon Inspector) mit Scan-on-Push gewährleistet, dass jedes Image beim Hochladen automatisch auf Schwachstellen gescannt wird, was die Grundlage für die Durchsetzung bildet. Eine CodeBuild-Phase, die die Scanergebnisse abfragt und den Build fehlschlagen lässt, wenn hohe oder kritische CVEs gefunden werden, implementiert die automatisierte Durchsetzung in der CI/CD-Pipeline, bevor das Image in der Produktion bereitgestellt werden kann. Das Blockieren von Image-Pulls durch eine ECR-Repository-Einstellung würde die Bereitstellung verhindern, aber nicht den Build-Prozess stoppen oder Feedback in der CI/CD-Pipeline geben. Der ECS-Deployment-Circuit-Breaker würde erst bei der Bereitstellung eingreifen und nicht proaktiv in der Pipeline verhindern. Eine ECR-Lifecycle-Richtlinie zum Löschen von Images ist zu destruktiv und würde die Images unwiederbringlich entfernen, anstatt die Bereitstellung zu verhindern und Feedback zu geben.