Een pipeline bouwt container images in het ene account en deployt naar een productie ECS-cluster dat naar een ander AWS-account in dezelfde Regio zal worden verplaatst. Het productiecluster moet images ophalen via een privéverbinding. Welk ontwerp voldoet aan deze vereisten?

De correcte optie zorgt voor een veilige en efficiënte privéverbinding en de juiste toegangscontrole. ECR VPC endpoints en een S3 gateway endpoint zijn essentieel voor privétoegang tot ECR en S3 (waar ECR lagen opslaat) vanuit een VPC, zonder verkeer via het publieke internet te leiden. Het instellen van een repositorybeleid in het hoofdaccount (waar de images worden gebouwd en opgeslagen) dat pull-rechten verleent aan de ECS-taken in het doelaccount, samen met de juiste IAM-permissies voor de taakuitvoeringsrol, maakt cross-account toegang mogelijk. De eerste optie is onjuist omdat het aanmaken van een aparte ECR repository in het afzonderlijke account onnodig is en extra replicatie of synchronisatie zou vereisen. De tweede optie vergeet de cruciale VPC endpoints voor privéconnectiviteit. De derde optie, ECR private image replication, is een geldige methode voor replicatie, maar de vraag specificeert dat het cluster naar een ander account zal worden verplaatst, wat impliceert dat de images in het hoofdaccount blijven en het doelaccount ze moet kunnen ophalen. Replicatie zou een extra stap zijn die niet expliciet gevraagd wordt en de andere optie is directer.