HPCワークフローは、CodeBuildでコンテナイメージを構築してECRにプッシュし、それらをEKSにデプロイします。コンプライアンス要件を満たすには、EKSデプロイの前にイメージに署名する必要があります。署名キーは自動的にローテーションされ、署名イベントはユーザーに帰属できる必要があります。運用上の労力が最も少ないアプローチはどれですか？

このアプローチは、既存のCodeBuildワークフローに署名プロセスを統合し、運用上のオーバーヘッドを最小限に抑えます。CodeBuild内でAWS Signerを使用してイメージを署名することで、イメージがECRにプッシュされる前に署名が完了します。CloudTrailは、署名アクティビティを記録し、署名を生成したユーザーを追跡できるため、コンプライアンス要件を満たします。署名キーの自動ローテーションはAWS Signerの組み込み機能であり、手動での介入なしにセキュリティを維持します。 他の選択肢は、不必要なステップを追加したり、適切な監査証跡を提供しなかったりします。ECRにプッシュされた後にイメージをプルして署名すると、ワークフローが複雑になります。Lambda関数で署名すると、Lambdaの実行環境が制約される可能性があり、CloudWatchは署名イベントのユーザー帰属にはCloudTrailほど適していません。