Una empresa ejecuta cargas de trabajo de contenedores en AWS App Runner y almacena imágenes de contenedores en Amazon ECR. El ingeniero de DevOps debe monitorear continuamente el repositorio de ECR y producir automáticamente una nueva imagen de contenedor cuando se detecta una vulnerabilidad en el sistema operativo o en el paquete de lenguaje. ¿Qué solución satisface este requisito?

La opción correcta utiliza EC2 Image Builder para automatizar la reconstrucción de imágenes de contenedor. Al habilitar el escaneo mejorado en Amazon ECR, se integra automáticamente con Amazon Inspector para detectar vulnerabilidades. Una regla de Amazon EventBridge puede capturar los hallazgos de Inspector y activar el pipeline de Image Builder, que luego reconstruye la imagen con las correcciones y la vuelve a cargar en ECR, satisfaciendo el requisito de monitoreo continuo y remediación automática. Las otras opciones son incorrectas porque: GuardDuty Malware Protection no está diseñado para escanear vulnerabilidades de SO o paquetes en imágenes de ECR. El escaneo básico de ECR no proporciona la integración necesaria con Inspector para la detección de vulnerabilidades de SO/paquetes ni la automatización de la reconstrucción. AWS Systems Manager Compliance se enfoca en nodos administrados (instancias EC2), no en la detección de vulnerabilidades dentro de imágenes de contenedor en ECR.