HPC 工作流程使用 CodeBuild 建置容器映像檔並將其推送到 ECR，然後部署到 EKS。為符合法規要求，映像檔必須在 EKS 部署前簽署；簽署金鑰必須自動輪換，且簽署事件必須可歸因於使用者。哪種方法所需的操作工作量最少？

正確答案是「使用 CodeBuild 建置映像檔，在將映像檔推送到 ECR 之前使用 AWS Signer 簽署，並使用 CloudTrail 記錄簽章產生者」。此方法在 CodeBuild 流程中整合了簽署步驟，確保映像檔在推送到 ECR 之前即已簽署。AWS Signer 支援金鑰自動輪換，並提供與 CodeBuild 的原生整合。CloudTrail 會自動記錄所有 AWS API 呼叫，包括 AWS Signer 的簽署操作，確保簽章事件可歸因於使用者，且操作工作量最少。 其他選項涉及在映像檔推送到 ECR 之後 拉取映像檔進行簽署，這增加了複雜性，且可能需要額外的 Lambda 函數來觸發簽署流程，增加了操作負擔。此外，使用 CloudWatch 記錄簽章產生者不如 CloudTrail 直接和全面，因為 CloudTrail 專為記錄 API 活動和使用者歸因而設計。