DOP-C02 練習問題

解説本文は同じ状況に対し、CodeBuild のキャッシュで node_modules を再利用することと、CodeArtifact の外部接続で取得済みパッケージをドメインにキャッシュして外部レジストリの障害から切り離すことの2つを組み合わせる、と示しています。コンピュートタイプの引き上げはネットワーク待ちである取得時間には効きにくくコストだけ増えます。ECR のイメージスキャンはコンテナイメージの脆弱性検出であって、CodeArtifact は配布と依存の統制であり脆弱性検査の機能ではありません。VPC 接続は内部サービスへ接続してテストするための構成で、外部レジストリの不安定さは解決しません。

解説Refはリソースの論理名を指定すると、そのリソースタイプごとに定義された主要な識別子（EC2ならインスタンスID、S3ならバケット名など）を返す組み込み関数です。

解説本文は、awslogs ドライバーを使う Amazon ECS ではタスク実行ロールに CloudWatch Logs への書き込み権限が要るとし、「コンテナのログが CloudWatch に出ない」ならタスク実行ロールの権限を疑うと述べています。タスク実行ロールはコンテナを起動する基盤側が使うロール、タスクロールはコンテナの中のアプリが使うロールで、S3 や DynamoDB へのアクセスは後者の話です。また、ロググループに KMS キーを関連付けるにはキーポリシーで CloudWatch Logs サービスプリンシパルに kms:Encrypt などを許可する必要があり、ここを忘れて関連付けが失敗するのが定番だと本文にあります。ssm:GetParameter は EC2 の CloudWatch エージェントが設定を Parameter Store から読む場合の権限です。保持期間は費用の設計事項であって、ログが出ない原因にはなりません。