Crie um pipeline de contêiner GKE onde apenas imagens criadas pelo pipeline possam ser implantadas e todo o código/artefatos permaneçam dentro do seu ambiente para evitar a exfiltração de dados. Como você deve construir o pipeline?

A opção correta aborda todos os requisitos de segurança. O Cloud Build com pool de workers privado garante que a construção ocorra em um ambiente isolado, sem acesso à internet pública, evitando a exfiltração de dados. O VPC Service Controls cria um perímetro de segurança, prevenindo o acesso não autorizado a serviços e dados. A Autorização Binária no GKE garante que apenas imagens aprovadas e assinadas pelo pipeline possam ser implantadas, impedindo a execução de imagens não autorizadas. As outras opções falham em um ou mais aspectos: Usar o pool de workers padrão do Cloud Build permite acesso à internet pública, violando o requisito de evitar a exfiltração de dados. A política de firewall da VPC pode ser complexa de gerenciar e não oferece o mesmo nível de proteção que o VPC Service Controls para acesso a serviços gerenciados. Armazenar imagens no Artifact Registry e criptografá-las com CMEK é uma boa prática, mas não garante que apenas imagens criadas pelo pipeline sejam implantadas, nem previne a exfiltração de dados durante a construção sem um pool de workers privado e VPC Service Controls.