Рабочий процесс HPC создает образы контейнеров с помощью CodeBuild и отправляет их в ECR, а затем развертывает их в EKS. Для соответствия требованиям образы должны быть подписаны до развертывания в EKS; ключи подписи должны автоматически ротироваться, а события подписи должны быть привязаны к пользователям. Какой подход требует наименьших операционных усилий?

Правильный подход минимизирует операционные усилия, интегрируя подписание образов непосредственно в процесс сборки CodeBuild с использованием AWS Signer. AWS Signer обеспечивает автоматическую ротацию ключей и является управляемым сервисом, что снижает накладные расходы. Подписание образа до его отправки в ECR гарантирует, что в реестре хранятся только подписанные образы, что упрощает дальнейшую проверку. CloudTrail автоматически записывает все вызовы API, включая действия AWS Signer, связывая их с конкретными пользователями или ролями, что соответствует требованиям аудита. Другие варианты менее оптимальны: Извлечение образа из ECR для подписи после отправки добавляет ненужный шаг и усложняет рабочий процесс. Использование Lambda для подписи требует написания и поддержки пользовательского кода для подписи и ротации ключей, что увеличивает операционные усилия. CloudWatch Logs не предназначен для аудита действий пользователей, в отличие от CloudTrail.