Il codice dell'applicazione Python è archiviato in AWS CodeCommit e la pipeline di deployment utilizza AWS CodePipeline nello stesso account. La policy di sicurezza aziendale richiede che tutto il codice venga scansionato per rilevare vulnerabilità prima del deployment in produzione e che eventuali rilevamenti interrompano il deployment. Quale soluzione soddisfa questo requisito?

La soluzione corretta sfrutta Amazon CodeGuru Security, un servizio specificamente progettato per rilevare vulnerabilità nel codice. Integrando un progetto CodeBuild nella pipeline di CodePipeline, è possibile eseguire questa scansione come fase di pre-deployment. Se CodeGuru Security rileva vulnerabilità, il progetto CodeBuild può essere configurato per fallire, interrompendo così il deployment come richiesto dalla policy di sicurezza. Un ruolo IAM con le autorizzazioni necessarie garantisce che CodeBuild possa interagire con CodeGuru Security. Le opzioni errate presentano i seguenti problemi: L'uso di Amazon Inspector non è l'ideale per la scansione del codice sorgente. Inspector è più adatto per la scansione di immagini di container e istanze EC2 per vulnerabilità. Amazon DevOps Guru è un servizio di operazioni basato sul machine learning che aiuta a migliorare le prestazioni e la disponibilità delle applicazioni, non un servizio di scansione della sicurezza del codice. Non esiste un provider di azioni diretto per DevOps Guru o CodeGuru Security all'interno di CodePipeline per questo scopo, ma piuttosto un'integrazione tramite CodeBuild.