1. ECRの基本設定

• プライベートリポジトリを使う：本番環境のイメージはパブリックリポジトリではなくプライベートECRに保管する。IAMポリシーでアクセス制御する
• イメージタグの命名規則：「latest」タグのみを使うのは危険。GitのコミットSHA（git rev-parse –short HEAD）をタグにすることでどのコードからビルドしたかを追跡できる
• リポジトリポリシーでクロスアカウントアクセスを設定：マルチアカウント環境では本番アカウントのECSが開発アカウントのECRからイメージをプルする設定が必要になることがある

2. ライフサイクルポリシーで古いイメージを自動削除

{
  "rules": [
    {
      "rulePriority": 1,
      "description": "最新10イメージのみ保持",
      "selection": {
        "tagStatus": "tagged",
        "tagPrefixList": ["v"],
        "countType": "imageCountMoreThan",
        "countNumber": 10
      },
      "action": { "type": "expire" }
    },
    {
      "rulePriority": 2,
      "description": "タグなし（untagged）イメージを7日後に削除",
      "selection": {
        "tagStatus": "untagged",
        "countType": "sinceImagePushed",
        "countUnit": "days",
        "countNumber": 7
      },
      "action": { "type": "expire" }
    }
  ]
}

3. ECR Inspectorによる脆弱性スキャン