Contoso Retail utilise Amazon ECR et déploie sur Amazon ECS. Les exigences de sécurité stipulent qu'aucune image présentant des CVE de gravité Élevée ou Critique ne peut être promue en production. Ils souhaitent une application automatisée dans leur pipeline CI/CD avec un minimum d'étapes manuelles. Quelle combinaison d'actions répondra à ces exigences ? (Choisissez deux.)

L'activation de l'analyse améliorée d'Amazon ECR (Amazon Inspector) avec l'analyse au moment du push garantit que toutes les images sont automatiquement scannées pour les CVEs dès leur téléchargement, répondant ainsi à l'exigence d'une application automatisée. L'ajout d'une étape CodeBuild pour interroger les résultats d'analyse d'Inspector/ECR et faire échouer la build si des découvertes Élevées/Critiques existent est crucial. Cela empêche la promotion en production d'images non conformes, respectant la politique de sécurité. Bloquer les extractions d'images via un paramètre de dépôt ECR n'est pas suffisant car l'image pourrait déjà être en production. Le disjoncteur de déploiement ECS agit après le déploiement, ce qui est trop tard pour empêcher la promotion. Les politiques de cycle de vie ECR suppriment les images, mais ne bloquent pas leur déploiement initial et pourraient supprimer des images nécessaires pour des raisons de conformité ou de débogage.