Een bedrijf met honderden AWS-accounts in een AWS Organization gaat Docker-images naar Amazon ECR pushen. Alleen accounts binnen de organisatie mogen de images benaderen. De CI/CD-pipeline van het bedrijf draait frequent; het bedrijf wil alle getagde images behouden, maar slechts de vijf meest recente ongetagde images bewaren. Welke aanpak voldoet aan deze vereisten met de MINSTE operationele overhead?

De correcte optie voldoet aan alle eisen met de minste overhead. Een private ECR-repository is standaard en veiliger dan een publieke. Het repository-permissiebeleid met aws:PrincipalOrgID is de meest schaalbare en efficiënte manier om toegang te beperken tot accounts binnen de AWS Organization, zonder handmatig alle account-ID's te hoeven beheren. De ECR-levenscyclusregel automatiseert het verwijderen van ongetagde images, wat de operationele overhead minimaliseert. De andere opties zijn minder optimaal: Een public ECR-repository is onnodig en minder veilig. Het opsommen van alle account-ID's in het beleid is niet schaalbaar en verhoogt de operationele overhead bij wijzigingen in de organisatie. Een Lambda-functie voor het opruimen van images is ook meer overhead dan een ingebouwde levenscyclusregel. Een public ECR-repository in combinatie met een VPC endpoint is complexer dan nodig en biedt geen voordelen boven een private repository voor dit scenario. Een Lambda-functie voor het opruimen van images is ook meer overhead.