Potok CI/CD buduje obrazy kontenerów, wypycha je do Amazon ECR, a następnie wdraża do przestrzeni nazw programistycznych EKS w celu dynamicznego testowania. Zespół chce dodać etap analizy obrazów wcześniej w potoku, aby skanować obrazy przed wdrożeniem do EKS. Które rozwiązanie zapewnia największą wydajność operacyjną?

Poprawna odpowiedź zapewnia największą wydajność operacyjną, ponieważ integruje skanowanie obrazów bezpośrednio z istniejącym potokiem CI/CD (AWS CodePipeline i ECR). Włączenie podstawowego skanowania ECR po wypchnięciu obrazu pozwala na automatyczną analizę pod kątem luk w zabezpieczeniach. Użycie funkcji AWS Lambda do odczytu wyników skanowania i warunkowego przerywania potoku automatyzuje proces decyzyjny, zapobiegając wdrożeniu niezabezpieczonych obrazów. Opcja budowania lokalnego i używania haka pre-commit nie jest skalowalna ani łatwa do egzekwowania w dużych zespołach. Skanowanie kodu źródłowego jest ważne, ale nie zastępuje skanowania obrazów kontenerów, które mogą zawierać zależności z lukami. Modyfikacja etapu wdrożenia, aby skanować tuż przed wdrożeniem, jest możliwa, ale mniej efektywna niż skanowanie zaraz po zbudowaniu obrazu, ponieważ wykrycie problemów na wcześniejszym etapie pozwala na szybszą interwencję.