SAP-C02 第 307 题
题目
一家公司使用 AWS Organizations 来管理多账户结构。该公司拥有数百个 AWS 账户，预计账户数量还会增加。该公司正在构建一个使用 Docker 镜像的新应用程序。该公司将把 Docker 镜像推送到 Amazon Elastic Container Registry (Amazon ECR)。只有公司组织内的帐户才有权访问这些图像。该公司有一个频繁运行的 CI/CD 流程。该公司希望保留所有标记的图像。然而，该公司希望只保留最近的五张未标记的图像。哪种解决方案能够以最少的运营开销满足这些要求？
选项
A. 在 Amazon ECR 中创建私有存储库。为存储库创建仅允许所需的 ECR 操作的权限策略。如果 aws:PrincipalOrglD 条件键的值等于公司组织的 ID，请包括允许 ECR 操作的条件。向 ECR 存储库添加生命周期规则，删除超过 5 个的所有未标记图像
B. 在 Amazon ECR 中创建公共存储库。在 ECR 账户中创建 IAM 角色。设置权限，以便在 aws:PrincipalOrglD 条件键的值等于公司组织的 ID 时任何账户都可以代入该角色。将生命周期规则添加到 ECR 存储库，删除超过 5 个的所有未标记图像。
C. 在 Amazon ECR 中创建私有存储库。为存储库创建仅包含所需 ECR 操作的权限策略。包含一个条件以允许对组织中的所有账户 ID 进行 ECR 操作 安排每日 Amazon EventBridge 规则来调用 AWS Lambda 函数，该函数将删除超过 5 个的所有未标记图像。
D. 在 Amazon ECR 中创建公共存储库。配置 Amazon ECR 以使用接口 VPC 终端节点以及终端节点策略，其中包含公司需要拉取的映像所需的权限。包括允许对公司组织中的所有账户 ID 进行 ECR 操作的条件。安排每日 Amazon EventBridge 规则来调用 AWS Lambda 函数，该函数将删除超过 5 个的所有未标记图像。
答案
A
解析
正确答案：A 解析： 题干关键点：最低运维开销、AWS Organizations 组织治理、核心服务：VPC, Lambda, EventBridge, IAM, Organizations。 正确选项： A. 在 Amazon ECR 中创建私有存储库。为存储库创建仅允许所需的 ECR 操作的权限策略。如果 aws:PrincipalOrglD 条件键的值等于公司组织的 ID，请包括允许 ECR 操作的条件。向 ECR 存储库添加生...