Firma przechowuje obrazy kontenerów w Amazon Elastic Container Registry (Amazon ECR). Każda nowa wersja obrazu otrzymuje unikalny tag. Firma potrzebuje zautomatyzowanego procesu, który skanuje nowo wypchnięte obrazy pod kątem typowych luk i zagrożeń (CVE), automatycznie usuwa tagi obrazów, które mają wykryte luki o krytycznym lub wysokim poziomie ważności, i powiadamia zespół programistów o takich usunięciach. Które rozwiązanie spełnia te wymagania?

Włączanie skanowania przy wypychaniu (scan-on-push) w ECR automatycznie uruchamia skanowanie bezpieczeństwa po każdym nowym obrazie. Amazon EventBridge może wykryć zdarzenie zakończenia skanowania z wynikami krytycznymi/wysokimi i wywołać maszynę stanów AWS Step Functions. Step Functions jest idealne do orkiestracji złożonych przepływów pracy, takich jak usuwanie tagów obrazów i wysyłanie powiadomień za pośrednictwem Amazon SNS, zapewniając niezawodne i zautomatyzowane rozwiązanie. Pozostałe opcje są mniej optymalne: Użycie Amazon SQS i AWS Lambda jest możliwe, ale Step Functions oferuje lepszą orkiestrację i obsługę błędów dla wieloetapowych procesów. Ręczne skanowanie obrazów za pomocą zaplanowanej funkcji Lambda nie spełnia wymogu automatycznego skanowania nowo wypchniętych obrazów. Okresowe skanowanie również nie reaguje natychmiast na nowo wypchnięte obrazy, a użycie SQS do wywołania Step Functions dodaje niepotrzebną złożoność, gdy EventBridge może bezpośrednio reagować na zdarzenia ECR.