Een bedrijf draait workloads op Amazon Elastic Container Service (Amazon ECS). De container images die worden gebruikt door de ECS taakdefinities moeten worden gescand op Common Vulnerabilities and Exposures (CVE's). Nieuwe images moeten ook worden gescand wanneer ze worden aangemaakt. Welke oplossing voldoet aan deze vereisten met de MINSTE wijzigingen aan de workloads?

De correcte optie is het gebruik van Amazon ECR als private image repository met 'scan on push' filters voor de ECR basic scan. Dit voldoet aan de vereisten omdat ECR automatisch container images scant op CVE's wanneer ze worden geüpload (gepusht). Dit vereist minimale wijzigingen aan bestaande ECS-workloads, aangezien ECS al naadloos integreert met ECR voor het ophalen van images. De basic scan is voldoende om aan de vraag te voldoen. De optie met Amazon S3 en Macie is incorrect omdat Macie primair gericht is op data discovery en classificatie van gevoelige data, niet op het scannen van container images op CVE's. De optie met Amazon EKS is incorrect omdat het overstappen van ECS naar EKS een significante architectuurwijziging is, wat in strijd is met de eis van "MINSTE wijzigingen aan de workloads". Bovendien is de enhanced scan niet strikt noodzakelijk als de basic scan volstaat. De optie met S3, versioning, Lambda en Inspector is incorrect omdat het een complexere en handmatige integratie vereist dan de ingebouwde functionaliteit van ECR. Inspector is wel geschikt voor het scannen van images, maar de workflow via S3 en Lambda is omslachtiger dan direct ECR te gebruiken.