Een HPC-workflow bouwt containerimages met CodeBuild en pusht deze naar ECR, waarna ze worden geïmplementeerd naar EKS. Om te voldoen aan compliance, moeten images worden ondertekend vóór EKS-implementatie; ondertekeningssleutels moeten automatisch worden geroteerd en ondertekeningsgebeurtenissen moeten toewijsbaar zijn aan gebruikers. Welke aanpak vereist de minste operationele inspanning?

De correcte optie minimaliseert operationele inspanning door de ondertekening direct in het CodeBuild-proces te integreren, vóór de push naar ECR. AWS Signer beheert automatisch sleutelrotatie en biedt een compliance-vriendelijke manier om images te ondertekenen. CloudTrail registreert API-aanroepen, inclusief die van AWS Signer, en koppelt deze aan de gebruiker of rol die de CodeBuild-taak heeft gestart, wat voldoet aan de traceerbaarheidsvereiste. De andere opties vereisen extra stappen (image pullen uit ECR na push) of gebruiken CloudWatch voor het vastleggen van gebruikersactiviteit, wat minder geschikt is dan CloudTrail voor het auditen van API-aanroepen en gebruikersacties. Een Lambda-functie introduceren voor ondertekening voegt ook extra complexiteit toe die niet nodig is als CodeBuild dit al kan afhandelen.