Een bedrijf slaat container images op in Amazon Elastic Container Registry (Amazon ECR). Elke nieuwe image-versie krijgt een unieke tag. Het bedrijf heeft een geautomatiseerd proces nodig dat nieuw gepushte images scant op veelvoorkomende kwetsbaarheden en exposures (CVE's), automatisch image-tags verwijdert die bevindingen met een Critical- of High-ernst hebben, en het ontwikkelingsteam op de hoogte stelt wanneer dergelijke verwijderingen plaatsvinden. Welke oplossing voldoet aan deze vereisten?

De correcte optie gebruikt scan-on-push, wat direct na het pushen van een image scant, en EventBridge om te reageren op de scanresultaten. EventBridge kan specifiek filteren op Critical- of High-ernst bevindingen en vervolgens een Step Functions state machine activeren. Step Functions is geschikt voor het orkestreren van meerdere stappen, zoals het verwijderen van tags en het versturen van meldingen via SNS, wat een robuuste en schaalbare oplossing biedt. De andere opties zijn minder optimaal: Het gebruik van SQS en een Lambda-functie voor de gehele logica is mogelijk, maar Step Functions biedt betere orkestratie en foutafhandeling voor complexe workflows. SES is ook minder flexibel voor algemene meldingen dan SNS. Het plannen van een handmatige scan elk uur is niet direct na het pushen en kan leiden tot vertragingen. Periodieke scanning is niet direct na het pushen en de combinatie met SQS en Step Functions is minder direct dan EventBridge dat direct op de scanresultaten reageert.