Con Binary Authorization habilitado en GKE, asegúrese de que solo se puedan implementar imágenes de contenedor que hayan pasado las pruebas de regresión de Cloud Build.

La opción correcta describe el flujo de trabajo estándar de Binary Authorization. Para asegurar que solo se implementen imágenes verificadas, se debe crear un attestor (atestador) y una política en Binary Authorization. Luego, como parte del pipeline de Cloud Build, después de que las pruebas de regresión hayan pasado exitosamente, se debe generar una atestación firmada para la imagen. Esta atestación es la prueba criptográfica de que la imagen cumplió con los requisitos. La política de Binary Authorization en GKE luego verificará esta atestación antes de permitir la implementación. Las otras opciones son incorrectas: Voucher Server y Client son herramientas de código abierto que pueden usarse para la atestación, pero la pregunta se centra en el mecanismo de Binary Authorization de Google Cloud, que utiliza attestors y atestaciones directamente. Un escaneo de vulnerabilidades es importante, pero no produce una atestación que certifique el paso de las pruebas de regresión; es una verificación de seguridad diferente. Pod Security Standard en Restricted es una buena práctica de seguridad para GKE, pero no es el mecanismo para hacer cumplir la atestación de imágenes con Binary Authorization. La firma digital de imágenes es parte del proceso de atestación, pero no es suficiente sin el attestor y la política de Binary Authorization.