Sie möchten eine GKE-Container-Pipeline erstellen, bei der nur von der Pipeline erstellte Images bereitgestellt werden können und alle Codes/Artefakte in Ihrer Umgebung verbleiben, um Datenexfiltration zu verhindern. Wie sollten Sie die Pipeline aufbauen?

Die korrekte Option gewährleistet maximale Sicherheit und Datenhoheit. Ein privater Cloud Build Worker-Pool führt Builds in einem von Ihnen kontrollierten Netzwerk aus, was die Isolation verbessert. VPC Service Controls erstellt einen Sicherheitsperimeter, der Datenexfiltration verhindert, indem er den Zugriff auf Google Cloud-Dienste auf vertrauenswürdige Netzwerke beschränkt. Binary Authorization stellt sicher, dass nur von der Pipeline signierte und genehmigte Images auf GKE bereitgestellt werden können, was die Integrität der Bereitstellungen gewährleistet. Die erste Option ist falsch, da der Standard-Worker-Pool keine vollständige Netzwerkisolation bietet und eine Firewall-Regel allein nicht ausreicht, um Datenexfiltration aus Cloud Build zu verhindern. Die dritte Option ist unzureichend, da sie zwar einen privaten Worker-Pool verwendet und Artifact Registry nutzt, aber VPC Service Controls und Binary Authorization fehlen, die für den Schutz vor Datenexfiltration und die Erzwingung der Image-Herkunft entscheidend sind. Die vierte Option ist falsch, da der Standard-Worker-Pool und das Fehlen von VPC Service Controls die Anforderungen an die Datenhoheit nicht erfüllen.