Ein HPC-Workflow erstellt Container-Images mit CodeBuild und überträgt sie an ECR, um sie dann in EKS bereitzustellen. Um die Compliance zu erfüllen, müssen Images vor der EKS-Bereitstellung signiert werden; Signierschlüssel müssen automatisch rotiert werden und Signierereignisse müssen Benutzern zugeordnet werden können. Welcher Ansatz erfordert den geringsten Betriebsaufwand?

Die korrekte Antwort minimiert den Betriebsaufwand, indem sie AWS Signer direkt in den CodeBuild-Prozess integriert. AWS Signer ist ein verwalteter Dienst, der das Signieren von Code und die Schlüsselrotation automatisiert, was den Compliance-Anforderungen entspricht und den manuellen Aufwand reduziert. Das Signieren des Images vor dem Push zu ECR stellt sicher, dass nur signierte Images im Repository landen und für die Bereitstellung verfügbar sind. CloudTrail zeichnet API-Aufrufe auf, einschließlich derer, die mit AWS Signer interagieren, und ermöglicht so die Zuordnung von Signaturereignissen zu Benutzern. Die anderen Optionen sind weniger optimal: Das Abrufen eines bereits in ECR übertragenen Images durch CodeBuild oder Lambda und anschließendes Signieren erfordert zusätzliche Schritte und möglicherweise komplexere Berechtigungen. Die Verwendung von CloudWatch zur Aufzeichnung von Signaturen ist weniger geeignet als CloudTrail, da CloudWatch Metriken und Logs sammelt, während CloudTrail speziell für die Aufzeichnung von API-Aktivitäten und Benutzeraktionen konzipiert ist.