Компания, имеющая сотни аккаунтов AWS в AWS Organization, будет загружать образы Docker в Amazon ECR. Доступ к образам должны иметь только аккаунты в пределах Organization. CI/CD-конвейер компании работает часто; компания хочет сохранить все помеченные тегами образы, но оставить только пять самых последних образов без тегов. Какой подход соответствует этим требованиям с НАИМЕНЬШИМИ операционными издержками?

Правильный ответ соответствует всем требованиям с наименьшими операционными издержками. Создание частного репозитория ECR является стандартной практикой для обеспечения безопасности. Использование условия aws:PrincipalOrgID в политике разрешений репозитория — это эффективный способ ограничить доступ только аккаунтами в пределах AWS Organization, избегая необходимости перечислять сотни отдельных ID аккаунтов. Правила жизненного цикла ECR автоматически управляют удалением старых нетегированных образов, что значительно снижает операционные издержки по сравнению с использованием Lambda-функций и EventBridge. Неправильные варианты: Публичный репозиторий ECR не подходит, так как доступ должен быть ограничен только аккаунтами организации. Перечисление всех ID аккаунтов в политике разрешений репозитория является неэффективным и трудноуправляемым для сотен аккаунтов. Использование EventBridge и Lambda для управления жизненным циклом образов добавляет ненужные операционные издержки, когда ECR предоставляет встроенную функциональность. Публичный репозиторий ECR и конечная точка VPC не соответствуют требованию ограничения доступа только аккаунтами организации, а также добавляют сложность с EventBridge и Lambda.