Una empresa desea integrar el escaneo de vulnerabilidades a nivel de sistema operativo y de paquetes de lenguaje en su pipeline de CI/CD para que solo las imágenes sin hallazgos CRITICAL o HIGH lleguen a producción. El pipeline es CodePipeline con CodeBuild, CodeDeploy y un repositorio ECR. ¿Qué combinación de pasos logra esto? (Elija dos opciones).

El escaneo mejorado de imágenes de Amazon ECR, impulsado por Amazon Inspector, es la opción correcta porque proporciona un escaneo continuo y exhaustivo a nivel de sistema operativo y de paquetes de lenguaje, identificando vulnerabilidades CRITICAL y HIGH, lo cual cumple con el requisito del problema. El escaneo básico de ECR es menos completo y no satisface las necesidades de escaneo de paquetes de lenguaje. La segunda opción correcta es crear una regla de EventBridge que active una Lambda para leer los resultados de Amazon Inspector y enviar un estado Approved o Rejected al pipeline. Esto permite automatizar la decisión de promover o rechazar la imagen basándose en los hallazgos de vulnerabilidades, integrándose directamente con el flujo de CodePipeline. La opción de usar Clair no es aplicable ya que el escaneo mejorado de ECR utiliza Amazon Inspector, no Clair. Configurar ECR para enviar automáticamente un estado Rejected no es una funcionalidad nativa de ECR; se requiere una lógica personalizada (como la Lambda) para interactuar con el pipeline.