Una empresa ejecuta microservicios internos en Amazon Elastic Container Service (Amazon ECS) con el tipo de lanzamiento de Amazon EC2 y utiliza repositorios privados de Amazon Elastic Container Registry (Amazon ECR). Un ingeniero de seguridad debe cifrar los repositorios de ECR con AWS Key Management Service (AWS KMS) y escanear las imágenes de contenedor en busca de vulnerabilidades y exposiciones comunes (CVE). ¿Qué solución cumplirá estos requisitos?

La opción correcta aborda ambos requisitos de forma efectiva. Para el cifrado de KMS, los repositorios de ECR existentes no se pueden modificar para habilitar el cifrado de KMS; deben recrearse. Al recrear los repositorios, se puede habilitar el cifrado de KMS. Para el escaneo de CVE, ECR tiene una función de escaneo de imágenes integrada que se puede habilitar en el momento de la creación del repositorio o en un repositorio existente. Este escaneo se activa automáticamente en cada nuevo envío de imagen. La primera opción es incorrecta porque el cifrado de KMS no se puede habilitar en repositorios de ECR existentes. Además, instalar el Agente de Amazon Inspector en instancias de contenedor de ECS no escanea las imágenes de ECR para CVEs; Inspector se enfoca en las instancias EC2 subyacentes. La tercera opción es incorrecta porque, si bien recrear los repositorios con cifrado de KMS y escaneo de imágenes es correcto, instalar el Agente de AWS Systems Manager y ejecutar un informe de inventario no es el método para escanear imágenes de ECR en busca de CVEs. La cuarta opción es incorrecta porque el cifrado de KMS no se puede habilitar en repositorios de ECR existentes. Además, AWS Trusted Advisor no se utiliza para escanear imágenes de contenedor en busca de CVEs.