Ein Unternehmen speichert Container-Images in Amazon Elastic Container Registry (Amazon ECR). Jede neue Image-Version erhält einen eindeutigen Tag. Das Unternehmen benötigt einen automatisierten Prozess, der neu gepushte Images auf gängige Schwachstellen und Expositionen (CVEs) scannt, Image-Tags mit Critical- oder High-Schweregrad-Ergebnissen automatisch löscht und das Entwicklungsteam benachrichtigt, wenn solche Löschungen auftreten. Welche Lösung erfüllt diese Anforderungen?

Die korrekte Lösung nutzt scan-on-push, um Images bei jedem Push automatisch zu scannen. Amazon EventBridge kann auf ECR-Scan-Ergebnisse reagieren und eine AWS Step Functions State Machine auslösen, wenn kritische oder hochgradige Schwachstellen erkannt werden. Die Step Functions State Machine ist ideal für die Orchestrierung mehrerer Schritte: das Löschen des Image-Tags über die ECR-API und das Senden einer Benachrichtigung an das Entwicklungsteam über Amazon SNS. Die Option mit SQS und Lambda ist weniger effizient, da Step Functions eine bessere Orchestrierung für mehrstufige Prozesse bietet. Manuelle oder periodische Scans erfüllen nicht die Anforderung eines automatisierten Prozesses bei jedem neuen Push. Die Verwendung von SES anstelle von SNS für Benachrichtigungen ist möglich, aber SNS ist oft flexibler für die Integration mit verschiedenen Endpunkten.