Contoso Retail utilizza Amazon ECR ed effettua il deployment su Amazon ECS. I requisiti di sicurezza impongono che nessuna immagine con CVE di livello High o Critical possa essere promossa in produzione. Vogliono un'applicazione automatizzata nella loro pipeline CI/CD con passaggi manuali minimi. Quale combinazione di azioni soddisferà questi requisiti? (Scegliere due.)

Per soddisfare i requisiti, è essenziale identificare le vulnerabilità nelle immagini e bloccare il deployment di quelle non conformi. Abilitare la scansione avanzata di Amazon ECR (Amazon Inspector) con scansione al push garantisce che ogni immagine venga analizzata automaticamente per CVE non appena viene caricata, fornendo i dati necessari per la valutazione della sicurezza. Successivamente, aggiungere uno stage CodeBuild che interroga i risultati della scansione di Inspector/ECR per l'image digest e fallisce la build se vengono rilevate vulnerabilità High/Critical impedisce che immagini non sicure raggiungano l'ambiente di produzione, automatizzando il processo di blocco. L'opzione di bloccare i pull delle immagini in ECR non è sufficiente, poiché le immagini potrebbero essere già state pullate o potrebbero essere necessarie per altri scopi non di produzione. L'ECS deployment circuit breaker non impedisce il deployment iniziale, ma agisce solo dopo che i task sono stati avviati, il che non soddisfa il requisito di bloccare la promozione. Creare una policy del ciclo di vita di ECR per eliminare le immagini con CVE non è l'approccio corretto, poiché l'eliminazione potrebbe causare interruzioni e non è un meccanismo di blocco del deployment in tempo reale.