您使用 Cloud Build 构建镜像，将其存储在 Artifact Registry 中，并使用 Cloud Deploy 部署到生产环境。您如何确保只有安全的镜像才能进入生产环境？

Binary Authorization 是确保只有受信任的容器镜像才能部署到生产环境的关键服务。它允许您定义策略，要求镜像在部署前必须经过数字签名验证。这意味着只有使用您信任的密钥签名的镜像才能通过部署门槛，从而有效防止未经授权或未经验证的镜像进入生产环境。 其他选项： 在 Cloud Run 前使用 Cloud Armor 保护的是运行时流量，而不是在部署前验证镜像的安全性。 Artifact Analysis 扫描镜像漏洞是重要步骤，但它本身不阻止部署。Cloud KMS 用于加密数据，而不是强制执行部署策略。 将加密镜像存储在 Secret Manager 中并部署不提供部署前的镜像完整性验证或授权控制。