CI/CD パイプラインは、コンテナイメージをビルドし、それらを Amazon ECR にプッシュしてから、動的テストのために EKS 開発ネームスペースにデプロイします。チームは、EKS にデプロイする前にイメージをスキャンするために、パイプラインの早い段階でイメージ分析ステージを追加したいと考えています。最も運用効率が高いソリューションはどれですか？

このソリューションは、イメージがビルドされてAmazon ECRにプッシュされた直後にスキャンを実行するため、運用効率が最も高くなります。ECRの基本イメージスキャンは自動的に実行され、追加のツールや設定は不要です。Lambda関数を使用してスキャン結果を読み取り、脆弱性が検出された場合にパイプラインを停止することで、問題のあるイメージがEKSにデプロイされるのを防ぎます。 ローカルスキャンは、開発者のワークフローに依存するため、強制力に欠けます。ソースコードスキャンは、イメージのビルド後に導入される可能性のある脆弱性を見逃す可能性があります。デプロイステージでのスキャンは、パイプラインの後半で問題を発見することになり、手戻りが発生する可能性が高く、効率的ではありません。