Un'azienda con centinaia di account AWS in un'AWS Organization caricherà immagini Docker su Amazon ECR. Solo gli account all'interno dell'Organization dovrebbero accedere alle immagini. La pipeline CI/CD dell'azienda viene eseguita frequentemente; l'azienda desidera conservare tutte le immagini con tag, ma mantenere solo le cinque immagini più recenti senza tag. Quale approccio soddisfa questi requisiti con il MINOR overhead operativo?

L'opzione corretta utilizza un repository privato ECR, che è l'impostazione predefinita e più sicura per le immagini aziendali. La condizione aws:PrincipalOrgID nella policy del repository limita l'accesso ai soli account all'interno dell'AWS Organization, fornendo un controllo granulare e scalabile senza dover elencare centinaia di ID account. Le policy del ciclo di vita di ECR sono la soluzione nativa e a basso overhead operativo per la gestione automatica delle immagini, eliminando le immagini untagged in eccesso senza la necessità di Lambda o EventBridge. Le opzioni errate propongono soluzioni meno efficienti o meno sicure: Un repository pubblico ECR non è appropriato per immagini aziendali private. Elencare manualmente centinaia di ID account in una policy non è scalabile e aumenta l'overhead operativo. L'uso di EventBridge e Lambda per la pulizia delle immagini introduce complessità e costi aggiuntivi rispetto alle policy del ciclo di vita native di ECR.