Een bedrijf draait containerworkloads op AWS App Runner en slaat containerimages op in Amazon ECR. De DevOps-engineer moet de ECR-repository continu monitoren en automatisch een nieuwe containerimage produceren wanneer een kwetsbaarheid in het besturingssysteem of taalpakket wordt gedetecteerd. Welke oplossing voldoet aan deze vereiste?

De correcte optie gebruikt EC2 Image Builder om een continue containerimage-pipeline te creëren. Door verbeterde scanning in te schakelen op Amazon ECR, wordt Amazon Inspector automatisch geactiveerd om kwetsbaarheden te detecteren. Een EventBridge-regel kan vervolgens Amazon Inspector-bevindingen vastleggen en de Image Builder-pipeline activeren om de image opnieuw te bouwen met de nodige patches, waarna de bijgewerkte image naar ECR wordt gepusht. Dit voldoet aan de vereiste voor continue monitoring en automatische herbouw bij kwetsbaarheden. De andere opties zijn minder geschikt: GuardDuty Malware Protection is gericht op runtime bedreigingen, niet op kwetsbaarheden in containerimages. Basisscanning in ECR is minder uitgebreid dan verbeterde scanning en het triggeren van CodeBuild op alle ECR image action events is te breed en niet specifiek gericht op kwetsbaarheden. AWS Systems Manager Compliance is voor het scannen van EC2-instances en on-premises servers, niet direct voor containerimages in ECR.