Una pipeline CI/CD crea immagini container, le invia ad Amazon ECR e poi le distribuisce a un namespace di sviluppo EKS per test dinamici. Il team vuole aggiungere una fase di analisi delle immagini all'inizio della pipeline per scansionare le immagini prima della distribuzione su EKS. Quale soluzione offre la maggiore efficienza operativa?

La soluzione corretta integra la scansione delle immagini direttamente nella pipeline CI/CD di AWS, sfruttando le funzionalità native di ECR e CodePipeline per l'efficienza operativa. Abilitare la scansione di base di ECR al momento del push garantisce che ogni immagine venga analizzata automaticamente. L'aggiunta di una fase CodePipeline dopo la creazione dell'immagine, con una funzione Lambda che legge i risultati e interrompe la pipeline in caso di vulnerabilità, automatizza il processo di controllo e impedisce la distribuzione di immagini insicure. Le altre opzioni sono meno efficienti: la scansione locale richiede un'applicazione manuale o un hook pre-commit che può essere aggirato; la scansione del codice sorgente è utile ma non sostituisce la scansione dell'immagine finale; la modifica della fase di distribuzione per la scansione è troppo tardiva, poiché l'immagine è già stata creata e potenzialmente archiviata in ECR senza un controllo preventivo.