Een CI/CD-pipeline bouwt container images, pusht deze naar Amazon ECR en implementeert ze vervolgens in een EKS development namespace voor dynamische tests. Het team wil een image-analysestap eerder in de pipeline toevoegen om images te scannen voordat ze naar EKS worden geïmplementeerd. Welke oplossing biedt de meeste operationele efficiëntie?

Deze optie is het meest efficiënt omdat het de ingebouwde functionaliteit van ECR voor basis image scanning benut. Door de scan direct na de build en push naar ECR uit te voeren, worden kwetsbaarheden vroegtijdig gedetecteerd, voordat de image wordt geïmplementeerd. Een Lambda-functie kan de scanresultaten automatisch controleren en de pipeline laten falen bij bevindingen, wat handmatige interventie minimaliseert en de operationele efficiëntie verhoogt. De andere opties zijn minder efficiënt: Lokaal scannen met docker scan en pre-commit hooks is afhankelijk van individuele ontwikkelaars en kan inconsistent zijn. Broncodescanning is belangrijk, maar detecteert geen kwetsbaarheden die worden geïntroduceerd via basisimages of afhankelijkheden tijdens het buildproces. Scannen vlak voor de implementatie is te laat; het is efficiënter om de scan direct na de build uit te voeren om onnodige stappen te voorkomen.