Un'azienda esegue carichi di lavoro su Amazon Elastic Container Service (Amazon ECS). Le immagini container utilizzate dalle definizioni di attività ECS devono essere scansionate per Common Vulnerabilities and Exposures (CVE). Le nuove immagini devono anche essere scansionate al momento della creazione. Quale soluzione soddisfa questi requisiti con il MINOR numero di modifiche ai carichi di lavoro?

La soluzione corretta è utilizzare Amazon ECR con la scansione di base "scan on push". Amazon ECR è un registro di container gestito che si integra nativamente con Amazon ECS e offre la scansione di immagini per CVE. Abilitare "scan on push" garantisce che le nuove immagini vengano scansionate automaticamente al momento del caricamento, soddisfacendo i requisiti con il minor numero di modifiche ai carichi di lavoro esistenti. Le altre opzioni sono meno adatte: Archiviare le immagini in un bucket S3 con Amazon Macie non è l'uso previsto di Macie, che è per la scoperta e la protezione dei dati sensibili, non per la scansione di CVE nelle immagini container. Passare ad Amazon EKS richiederebbe modifiche significative all'infrastruttura e ai carichi di lavoro, andando contro il requisito di "MINORE numero di modifiche". Sebbene ECR avanzato offra una scansione più approfondita, il passaggio a EKS è un cambiamento troppo grande. L'uso di un bucket S3 con una funzione Lambda per avviare Amazon Inspector è una soluzione più complessa e meno diretta rispetto all'integrazione nativa di ECR, richiedendo più configurazione e manutenzione.