您的 GKE 集群上启用了 Binary Authorization。Cloud Build 运行回归测试并发布镜像。您如何确保只有经过测试的镜像才能部署？

此选项是正确的，因为 Binary Authorization 依赖于 attestor 和 policy 来强制执行部署限制。Kritis Signer 是一个工具，用于在镜像通过测试后创建并附加 attestations，证明其符合预定义的策略。这是在 Cloud Build 管道中实现此工作流的标准和推荐方法。 部署 Voucher Server 和 Voucher Client 是一种替代的、更复杂的签名和验证系统，通常用于更高级或定制的场景，而不是 Binary Authorization 的标准集成。将 Pod Security Standard 设置为 Restricted 仅限制了 Pod 的某些安全上下文，但不能验证镜像是否经过测试。虽然创建 attestor 和 policy 是正确的，但仅仅“创建 attestation”是不够的；需要一个工具（如 Kritis Signer）来实际执行签名过程并附加 attestation。