Un pipeline CI/CD construit des images conteneur, les pousse vers Amazon ECR, puis les déploie dans un namespace de développement EKS pour des tests dynamiques. L'équipe souhaite ajouter une étape d'analyse d'image plus tôt dans le pipeline pour scanner les images avant de les déployer sur EKS. Quelle solution offre la meilleure efficacité opérationnelle ?

La solution correcte intègre l'analyse d'image directement dans le pipeline CI/CD, après la construction de l'image et avant le déploiement, ce qui est conforme à la pratique du "shift left" en sécurité. L'activation de l'analyse de base ECR lors du push est efficace car elle utilise une fonctionnalité native d'AWS. Une fonction Lambda peut ensuite automatiser la vérification des résultats et faire échouer le pipeline si des vulnérabilités sont trouvées, empêchant ainsi le déploiement d'images non sécurisées. Construire localement et utiliser un hook de pré-commit est moins efficace opérationnellement car cela dépend de l'exécution manuelle ou locale par chaque développeur, ce qui peut être contourné. L'analyse du code source est utile mais ne remplace pas l'analyse de l'image finale, qui peut contenir des vulnérabilités introduites par les dépendances ou l'environnement de construction. Modifier l'étape de déploiement pour vérifier les résultats juste avant le déploiement est trop tardif; l'objectif est de détecter les problèmes le plus tôt possible pour éviter de déployer des artefacts potentiellement vulnérables.