AWS Organizationsに数百のAWSアカウントを持つ会社が、DockerイメージをAmazon ECRにプッシュします。Organization内のアカウントのみがイメージにアクセスできるようにする必要があります。会社のCI/CDパイプラインは頻繁に実行されます。会社はすべてのタグ付きイメージを保持し、タグなしイメージは最新の5つのみを保持したいと考えています。運用上のオーバーヘッドが最も少ないのは、次のどのアプローチですか？

このアプローチは、プライベートなAmazon ECRリポジトリとリポジトリポリシーを組み合わせて、AWS Organizations内のアカウントのみがイメージにアクセスできるようにします。aws:PrincipalOrgID条件を使用することで、数百のアカウントIDを個別に列挙する手間が省け、運用上のオーバーヘッドが大幅に削減されます。ECRライフサイクルルールは、タグなしイメージの自動クリーンアップをネイティブに処理するため、Lambda関数を別途開発・管理する必要がありません。 他の選択肢は、パブリックリポジトリの使用（セキュリティリスク）、すべてのアカウントIDの列挙（管理が複雑）、またはLambda関数によるイメージクリーンアップ（運用オーバーヘッドの増加）といった欠点があります。