一家在 AWS Organization 中擁有數百個 AWS 帳戶的公司，將把 Docker 映像推送到 Amazon ECR。只有 Organization 中的帳戶才能存取這些映像。該公司的 CI/CD pipeline 頻繁運行；公司希望保留所有帶標籤的映像，但只保留最新的五個未帶標籤的映像。哪種方法能以最少的操作負擔滿足這些要求？

正確選項透過建立私有 ECR 儲存庫來確保安全性，並使用儲存庫權限策略中的 aws:PrincipalOrgID 條件，將存取權限精確限制在 AWS Organization 內的帳戶，這比列舉所有帳戶 ID 更具可擴展性且操作負擔更少。ECR 生命週期規則原生支援自動刪除除最新五個以外的未標記映像，滿足了映像保留要求，且無需額外的 Lambda 函數或排程器，大幅降低了操作複雜性。其他選項錯誤在於：使用公開儲存庫不符合安全最佳實踐；列舉所有帳戶 ID 不具可擴展性；使用 Lambda 函數進行映像清理增加了不必要的操作負擔。