Bir CI/CD işlem hattı, container imajları oluşturur, bunları Amazon ECR'ye gönderir ve ardından dinamik test için bir EKS geliştirme namespace'ine dağıtır. Ekip, EKS'ye dağıtımdan önce imajları taramak için işlem hattının daha önceki bir aşamasına bir imaj analiz aşaması eklemek istiyor. Hangi çözüm en yüksek operasyonel verimliliği sağlar?

Doğru cevap, ECR'nin yerleşik temel imaj tarama özelliğini kullanır ve CodePipeline ile entegre eder. İmaj oluşturulduktan ve ECR'ye gönderildikten sonra, ECR otomatik olarak tarama yapar. Bir Lambda işlevi, tarama sonuçlarını kontrol edebilir ve güvenlik açıkları bulunursa işlem hattını durdurarak dağıtımı engelleyebilir. Bu yaklaşım, güvenlik kontrollerini CI/CD işlem hattına erken entegre ederken manuel müdahaleyi en aza indirir ve operasyonel verimliliği artırır. Diğer seçenekler neden yanlış: Yerel tarama ve pre-commit hook'lar geliştiriciye bağlıdır ve zorunlu değildir, bu da tutarsızlığa yol açabilir. Kaynak kod taraması önemlidir ancak derlenmiş imajdaki tüm güvenlik açıklarını (örneğin, temel imajdaki veya bağımlılıklardaki) yakalamaz. Dağıtım aşamasında tarama yapmak çok geçtir; sorunlar bulunduğunda imaj zaten oluşturulmuş ve ECR'ye gönderilmiştir. En iyi uygulama, güvenlik açıklarını mümkün olan en erken aşamada tespit etmektir.