Een bedrijf draait zijn gecontaineriseerde applicatie op Amazon Elastic Container Service (Amazon ECS). Het bedrijf moet ervoor zorgen dat container images geen kritieke kwetsbaarheden bevatten en moet de toegang tot de images beperken tot specifieke IAM-rollen en specifieke AWS-accounts, met minimale operationele overhead. Welke oplossing voldoet aan deze vereisten?

De correcte optie voldoet aan alle vereisten met minimale operationele overhead. Amazon ECR biedt ingebouwde scan-on-push functionaliteit die kwetsbaarheden detecteert zonder extra beheer. ECR repository policies en identiteitsgebaseerde IAM policies maken gedetailleerde toegangscontrole mogelijk voor specifieke IAM-principals en AWS-accounts, wat cruciaal is voor beveiliging. Een CI/CD-pipeline automatiseert de implementatie naar andere accounts. De eerste onjuiste optie mist ECR repository policies, wat minder granulaire toegangscontrole biedt dan de combinatie van repository- en identiteitsgebaseerde policies. De tweede onjuiste optie introduceert een zelfbeheerd privéregister op EC2 en host-gebaseerde scanners, wat de operationele overhead aanzienlijk verhoogt en niet AWS-native is. De vierde onjuiste optie gebruikt AWS CodeArtifact, wat bedoeld is voor softwarepakketten en niet voor container images; ECR is de juiste service hiervoor.