ある会社は、Amazon Elastic Container Registry (Amazon ECR) にコンテナイメージを保存しています。新しいイメージバージョンごとに一意のタグが付与されます。同社は、新しくプッシュされたイメージを一般的な脆弱性および露出 (CVE) についてスキャンし、重大度 Critical または High の検出結果があるイメージタグを自動的に削除し、そのような削除が発生したときに開発チームに通知する自動プロセスを必要としています。この要件を満たすソリューションはどれですか？

このソリューションは、ECRのscan-on-push機能を利用して、イメージがプッシュされた直後に自動的にスキャンを実行します。スキャンが完了し、重大度CriticalまたはHighの脆弱性が検出された場合、EventBridgeがそのイベントを検知し、Step Functionsステートマシンをトリガーします。Step Functionsは、検出された脆弱性を持つイメージタグを削除し、SNSを通じて開発チームに通知を送信する一連のステップをオーケストレーションできます。これにより、要件である「新しくプッシュされたイメージのスキャン」「重大度CriticalまたはHighの検出結果があるイメージタグの自動削除」「削除時の開発チームへの通知」をすべて満たします。 他の選択肢は、手動スキャンや定期スキャンを提案しており、リアルタイムの自動化という要件を満たしません。また、SQSとLambdaの組み合わせも可能ですが、複数のステップと状態管理が必要な場合はStep Functionsの方が適しています。