Ein Unternehmen mit Hunderten von AWS-Konten in einer AWS Organization wird Docker-Images in Amazon ECR pushen. Nur Konten innerhalb der Organisation sollen auf die Images zugreifen können. Die CI/CD-Pipeline des Unternehmens läuft häufig; das Unternehmen möchte alle getaggten Images behalten, aber nur die fünf neuesten ungetaggten Images. Welcher Ansatz erfüllt diese Anforderungen mit dem geringsten Betriebsaufwand?

Die korrekte Option erfüllt alle Anforderungen mit dem geringsten Betriebsaufwand. Ein privates ECR-Repository ist der Standard für Unternehmens-Images. Die Verwendung von aws:PrincipalOrgID in der Repository-Richtlinie ist der effizienteste Weg, um den Zugriff auf alle Konten innerhalb einer AWS Organization zu beschränken, ohne einzelne Konto-IDs aufzulisten. ECR-Lebenszyklusregeln sind eine eingebaute Funktion, um ungetaggte Images automatisch zu bereinigen, was den Betriebsaufwand minimiert. Öffentliche ECR-Repositories sind für diese Anforderung ungeeignet, da sie für den weltweiten Zugriff konzipiert sind und nicht für die Beschränkung auf eine Organisation. Das Aufzählen von Hunderten von Konto-IDs in einer Richtlinie ist nicht skalierbar und fehleranfällig. Eine Lambda-Funktion zur Image-Bereinigung ist zwar technisch möglich, aber eine benutzerdefinierte Lösung, die mehr Betriebsaufwand verursacht als die integrierten ECR-Lebenszyklusregeln.