Ein Unternehmen möchte OS-Level- und Sprachpaket-Schwachstellen-Scans in seine CI/CD-Pipeline integrieren, sodass nur Images ohne CRITICAL- oder HIGH-Ergebnisse die Produktion erreichen. Die Pipeline ist CodePipeline mit CodeBuild, CodeDeploy und einem ECR-Repository. Welche Kombination von Schritten erreicht dies? (Wählen Sie zwei.)

Die korrekten Antworten sind „Verwenden Sie das erweiterte Amazon ECR Image Scanning (Amazon Inspector Image Scanning)“ und „Erstellen Sie eine EventBridge-Regel, die eine Lambda-Funktion auslöst, wenn der Image-Scan abgeschlossen ist; lassen Sie die Lambda-Funktion das Amazon Inspector-Scanergebnis lesen und einen „Approved“- oder „Rejected“-Status an die CI/CD-Pipeline zurücksenden.“ Das erweiterte ECR Image Scanning (basierend auf Amazon Inspector) ist erforderlich, um OS-Level- und Sprachpaket-Schwachstellen zu erkennen, da das grundlegende Scanning nur OS-Pakete abdeckt. Um Images mit CRITICAL- oder HIGH-Ergebnissen am Erreichen der Produktion zu hindern, muss die CI/CD-Pipeline über den Scan-Status informiert werden. Dies wird durch eine EventBridge-Regel erreicht, die eine Lambda-Funktion auslöst, sobald der Scan abgeschlossen ist. Die Lambda-Funktion liest die Amazon Inspector-Ergebnisse und sendet einen entsprechenden Status (Approved/Rejected) an die Pipeline zurück, um den Workflow zu steuern. Die Option, ECR automatisch einen „Rejected“-Status senden zu lassen, existiert in dieser Form nicht. Clair ist die Technologie hinter dem grundlegenden Scanning und würde die Anforderungen nicht erfüllen.