Ein Unternehmen betreibt Workloads auf Amazon Elastic Container Service (Amazon ECS). Die von den ECS-Aufgabendefinitionen verwendeten Container-Images müssen auf Common Vulnerabilities and Exposures (CVEs) gescannt werden. Neue Images müssen auch beim Erstellen gescannt werden. Welche Lösung erfüllt diese Anforderungen mit den WENIGSTEN Änderungen an den Workloads?

Die Verwendung von Amazon ECR als privates Image-Repository mit aktivierten Scan-on-Push-Filtern für den ECR Basic Scan ist die effizienteste Lösung. ECR ist speziell für Container-Images konzipiert und bietet integrierte Schwachstellenscans, die automatisch beim Hochladen neuer Images ausgeführt werden. Dies erfordert keine Änderungen an den bestehenden ECS-Workloads, da ECR nahtlos mit ECS integriert ist. Das Speichern von Images in S3 mit Amazon Macie ist nicht ideal, da Macie für die Erkennung sensibler Daten und nicht für CVE-Scans in Container-Images optimiert ist. Der Wechsel zu Amazon EKS ist eine größere architektonische Änderung, die nicht den Anforderungen an "wenigste Änderungen" entspricht, auch wenn ECR Enhanced Scan eine Option wäre. Die Kombination von S3, Lambda und Amazon Inspector ist eine umständlichere und komplexere Lösung, die mehr Konfigurationsaufwand erfordert als die native ECR-Funktionalität.