Een bedrijf draait interne microservices op Amazon Elastic Container Service (Amazon ECS) met het Amazon EC2 launch type en gebruikt Amazon Elastic Container Registry (Amazon ECR) private repositories. Een security engineer moet de ECR repositories versleutelen met AWS Key Management Service (AWS KMS) en container images scannen op veelvoorkomende kwetsbaarheden en exploits (CVE's). Welke oplossing voldoet aan deze vereisten?

De juiste oplossing is om de ECR repositories opnieuw aan te maken met KMS-encryptie ingeschakeld en ECR image scanning te activeren. ECR ondersteunt encryptie met AWS KMS-sleutels, maar dit moet bij het aanmaken van de repository worden geconfigureerd. Bestaande repositories kunnen niet achteraf worden versleuteld met KMS. ECR image scanning is een ingebouwde functie die container images automatisch scant op bekende kwetsbaarheden en exploits (CVE's) bij elke nieuwe image push. De scanresultaten zijn vervolgens beschikbaar in de ECR-console. De andere opties zijn onjuist omdat: Het inschakelen van KMS-encryptie op bestaande ECR repositories niet mogelijk is. Amazon Inspector is primair gericht op EC2-instances en niet direct op container images in ECR. Het installeren van de AWS Systems Manager Agent en het uitvoeren van een inventarisrapport is niet de primaire methode voor het scannen van container images op CVE's; ECR image scanning is hiervoor de specifieke dienst. AWS Trusted Advisor controleert geen CVE's in container images; het biedt aanbevelingen voor kostenoptimalisatie, prestaties, beveiliging, fouttolerantie en servicelimieten.