Eine CI/CD-Pipeline erstellt Container-Images, pusht sie zu Amazon ECR und stellt sie dann in einem EKS-Entwicklungs-Namespace für dynamische Tests bereit. Das Team möchte einen Image-Analyse-Schritt früher in der Pipeline hinzufügen, um Images vor der Bereitstellung in EKS zu scannen. Welche Lösung bietet die höchste betriebliche Effizienz?

Die korrekte Option bietet die höchste betriebliche Effizienz, da sie die integrierte ECR Basic Image Scanning-Funktion nutzt, die automatisch beim Push des Images ausgeführt wird. Das Hinzufügen eines CodePipeline-Schritts nach dem Image-Build und einer Lambda-Funktion zur Überprüfung der Scan-Ergebnisse ermöglicht eine automatisierte und frühe Fehlererkennung, bevor das Image in EKS bereitgestellt wird. Dies verhindert, dass anfällige Images in die Entwicklungsumgebung gelangen. Die Option, Images lokal zu erstellen und docker scan auszuführen, ist weniger effizient, da sie auf manuelle Entwickleraktionen angewiesen ist und nicht in die CI/CD-Pipeline integriert ist. Die Option, einen Sicherheitsscanner für den Quellcode auszuführen, ist zwar nützlich, scannt aber nicht das fertige Container-Image auf Laufzeit-Schwachstellen. Die Option, den Bereitstellungsschritt zu ändern, um Scan-Ergebnisse zu überprüfen, ist zu spät im Prozess; das Image wurde bereits in ECR gepusht, und das Ziel ist, das Scannen vor dem Push zu ermöglichen, um das Pushen anfälliger Images zu vermeiden.