Una empresa almacena imágenes de contenedores en Amazon Elastic Container Registry (Amazon ECR). Cada nueva versión de imagen recibe una etiqueta única. La empresa necesita un proceso automatizado que escanee las imágenes recién subidas en busca de vulnerabilidades y exposiciones comunes (CVE), elimine automáticamente las etiquetas de las imágenes que tengan hallazgos de gravedad Crítica o Alta, y notifique al equipo de desarrollo cuando ocurran dichas eliminaciones. ¿Qué solución satisface estos requisitos?

La opción correcta habilita el escaneo automático al subir imágenes (scan-on-push), lo cual es eficiente y cumple con el requisito de escanear imágenes recién subidas. Amazon EventBridge puede detectar eventos de finalización de escaneo con hallazgos críticos/altos y activar una máquina de estados de Step Functions. Step Functions es ideal para orquestar flujos de trabajo complejos, como eliminar etiquetas de imágenes y enviar notificaciones a través de Amazon SNS, que es un servicio de mensajería escalable y flexible. La segunda opción es incorrecta porque usar Amazon SQS para los resultados del escaneo y luego una función Lambda para procesarlos añade complejidad innecesaria y puede ser menos robusto que Step Functions para la orquestación. La tercera opción es incorrecta porque el escaneo manual programado por Lambda no cumple con el requisito de escanear imágenes "recién subidas" de forma inmediata. La cuarta opción es incorrecta porque el escaneo periódico no es tan inmediato como el scan-on-push para las imágenes recién subidas, y usar SQS para los resultados antes de Step Functions introduce un paso intermedio que no es óptimo.