Un'azienda esegue microservizi interni su Amazon Elastic Container Service (Amazon ECS) con il tipo di lancio Amazon EC2 e utilizza repository privati Amazon Elastic Container Registry (Amazon ECR). Un ingegnere della sicurezza deve crittografare i repository ECR con AWS Key Management Service (AWS KMS) e scansionare le immagini dei container per rilevare vulnerabilità ed esposizioni comuni (CVE). Quale soluzione soddisferà questi requisiti?

La risposta corretta è ricreare i repository ECR con la crittografia KMS abilitata e abilitare la scansione delle immagini ECR, quindi esaminare il report di scansione dopo il prossimo push dell'immagine. La crittografia KMS su ECR è un'impostazione a livello di repository che non può essere modificata dopo la creazione, quindi i repository esistenti devono essere ricreati. Allo stesso modo, la scansione delle immagini ECR deve essere abilitata a livello di repository e si attiva automaticamente al push di una nuova immagine. Le altre opzioni sono errate perché: Non è possibile abilitare la crittografia KMS su repository ECR esistenti. Amazon Inspector non scansiona le immagini ECR per le CVE, ma valuta le istanze EC2. Non è possibile abilitare la crittografia KMS su repository ECR esistenti. AWS Systems Manager Agent e i report di inventario non sono correlati alla scansione delle immagini ECR per le CVE. Non è possibile abilitare la crittografia KMS su repository ECR esistenti. AWS Trusted Advisor non esegue la scansione delle immagini container per le CVE.