Firma chce zintegrować skanowanie luk w zabezpieczeniach na poziomie systemu operacyjnego i pakietów językowych z potokiem CI/CD, tak aby tylko obrazy bez wyników CRITICAL lub HIGH trafiały do produkcji. Potok to CodePipeline z CodeBuild, CodeDeploy i repozytorium ECR. Która kombinacja kroków to osiągnie? (Wybierz dwie opcje.)

Rozszerzone skanowanie obrazów Amazon ECR (oparte na Amazon Inspector) jest wymagane, ponieważ zapewnia skanowanie luk w zabezpieczeniach na poziomie systemu operacyjnego i pakietów językowych, czego nie oferuje podstawowe skanowanie ECR. Podstawowe skanowanie ECR wykorzystuje Trivy i skupia się głównie na lukach w systemie operacyjnym. Aby zautomatyzować zatwierdzanie lub odrzucanie obrazów w potoku CI/CD na podstawie wyników skanowania, należy użyć reguły EventBridge. Ta reguła powinna uruchamiać funkcję Lambda po zakończeniu skanowania przez Amazon Inspector. Lambda następnie odczytuje wyniki skanowania Inspector i wysyła odpowiedni status (Approved/Rejected) z powrotem do potoku CI/CD, co pozwala na kontynuowanie lub zatrzymanie wdrożenia. Opcja z Clair jest niepoprawna, ponieważ Clair to narzędzie open-source, a nie natywna usługa AWS do skanowania obrazów ECR. Konfiguracja ECR do automatycznego wysyłania statusu Rejected nie jest bezpośrednio dostępną funkcją ECR w kontekście integracji z potokiem CI/CD w ten sposób.