Una empresa con cientos de cuentas de AWS en una AWS Organization subirá imágenes de Docker a Amazon ECR. Solo las cuentas dentro de la organización deben acceder a las imágenes. La canalización de CI/CD de la empresa se ejecuta con frecuencia; la empresa quiere retener todas las imágenes etiquetadas, pero conservar solo las cinco imágenes sin etiquetar más recientes. ¿Qué enfoque cumple estos requisitos con la MENOR sobrecarga operativa?

La opción correcta utiliza un repositorio privado de Amazon ECR, que es el tipo predeterminado y más seguro para imágenes internas. La condición aws:PrincipalOrgID en la política de repositorio restringe el acceso a todas las cuentas dentro de la AWS Organization de forma centralizada y con baja sobrecarga operativa, sin necesidad de enumerar cada cuenta. Las reglas de ciclo de vida de ECR gestionan automáticamente la retención de imágenes sin etiquetar, eliminando la necesidad de soluciones personalizadas como funciones Lambda. Las opciones incorrectas son: Crear un repositorio público de Amazon ECR es inapropiado para imágenes internas y privadas. Enumerar todos los ID de cuenta en la política de repositorio es inviable y tiene una alta sobrecarga operativa para cientos de cuentas. Programar una función Lambda para la gestión del ciclo de vida introduce sobrecarga operativa innecesaria, ya que ECR ofrece esta funcionalidad de forma nativa. Configurar un VPC endpoint no aborda el control de acceso a nivel de organización ni la gestión del ciclo de vida de las imágenes de forma óptima.