Contoso Retail utiliza Amazon ECR y realiza despliegues en Amazon ECS. Los requisitos de seguridad establecen que ninguna imagen con CVEs de nivel Alto o Crítico puede ser promovida a producción. Quieren una aplicación automatizada en su pipeline de CI/CD con pasos manuales mínimos. ¿Qué combinación de acciones cumplirá estos requisitos? (Elija dos)

Habilitar el escaneo mejorado de Amazon ECR con escaneo al subir (scan on push) asegura que cada imagen se escanee automáticamente en busca de CVEs tan pronto como se sube, utilizando la capacidad de Amazon Inspector. Esto proporciona la visibilidad necesaria sobre las vulnerabilidades. Añadir una etapa de CodeBuild que consulte los resultados del escaneo de Inspector/ECR y falle la compilación si se encuentran CVEs Altos/Críticos implementa la lógica de bloqueo requerida en el pipeline de CI/CD. Esto evita que las imágenes vulnerables lleguen a producción, cumpliendo el requisito de seguridad con mínima intervención manual. Activar una configuración de ECR para bloquear extracciones de imágenes con vulnerabilidades críticas no es suficiente, ya que la imagen ya estaría en el repositorio y podría ser desplegada por otros medios o procesos. Habilitar el circuit breaker de despliegue de ECS no previene el despliegue inicial de la imagen vulnerable, solo detiene las tareas después de que el despliegue ha comenzado. Crear una política de ciclo de vida de ECR para eliminar imágenes con hallazgos Altos/Críticos es una acción reactiva que elimina la imagen, pero no bloquea proactivamente su despliegue inicial y podría causar interrupciones si una imagen ya en uso es eliminada.