De code van uw Python-applicatie is opgeslagen in AWS CodeCommit en de deployment pipeline gebruikt AWS CodePipeline in hetzelfde account. Het beveiligingsbeleid van het bedrijf vereist dat alle code wordt gescand op kwetsbaarheden vóór de productie-deployment, en eventuele bevindingen moeten de deployment stoppen. Welke oplossing voldoet aan deze vereiste?

De juiste oplossing integreert Amazon CodeGuru Security in een AWS CodeBuild-project binnen de CodePipeline. CodeGuru Security is specifiek ontworpen voor het scannen van code op kwetsbaarheden en kan worden geconfigureerd om de build te laten mislukken bij het vinden van problemen, wat voldoet aan de vereiste om de deployment te stoppen. Een IAM-rol met de juiste machtigingen is essentieel voor CodeBuild om CodeGuru Security aan te roepen. Het toevoegen van dit CodeBuild-project als een pre-deploy stage zorgt ervoor dat de scan plaatsvindt voordat de applicatie wordt uitgerold. Amazon Inspector is primair gericht op het scannen van EC2-instances en container-images, niet direct op broncode, waardoor het minder geschikt is voor deze specifieke use case. Amazon DevOps Guru is een operationele intelligentiedienst die afwijkingen detecteert in applicatiegedrag, niet voor statische code-analyse op kwetsbaarheden. CodePipeline heeft geen ingebouwde action provider voor CodeGuru Security of DevOps Guru; een CodeBuild-project is nodig om deze diensten te orkestreren.