Firma uruchamia swoją skonteneryzowaną aplikację w Amazon Elastic Container Service (Amazon ECS). Firma musi zapewnić, że obrazy kontenerów nie mają krytycznych luk w zabezpieczeniach i musi ograniczyć dostęp do obrazów do określonych ról IAM i określonych kont AWS, przy minimalnym nakładzie operacyjnym. Które rozwiązanie spełnia te wymagania?

Ta opcja jest poprawna, ponieważ Amazon ECR z włączonym skanowaniem przy wypychaniu (scan-on-push) automatycznie identyfikuje luki w zabezpieczeniach obrazów kontenerów, spełniając wymóg braku krytycznych luk. Użycie centralnego konta AWS do przechowywania obrazów, w połączeniu z potokiem CI/CD do wdrożenia na innych kontach, zapewnia scentralizowane zarządzanie i dystrybucję. Polityki repozytorium ECR i polityki oparte na tożsamości (identity-based policies) skutecznie ograniczają dostęp do obrazów do określonych ról IAM i kont AWS, minimalizując nakład operacyjny. Pozostałe opcje są mniej optymalne: Pierwsza opcja nie wspomina o politykach repozytorium ECR do ograniczania dostępu między kontami, co jest kluczowe dla określonych kont AWS. Druga opcja sugeruje samodzielnie zarządzany rejestr na instancjach EC2, co zwiększa nakład operacyjny i nie oferuje wbudowanego skanowania luk w zabezpieczeniach jak ECR. Czwarta opcja używa AWS CodeArtifact, który jest przeznaczony do pakietów aplikacji (np. Maven, npm), a nie obrazów kontenerów, co jest nieprawidłowym zastosowaniem usługi.