Usted construye y prueba imágenes de contenedor con Cloud Build y las almacena en Artifact Registry antes de desplegarlas en Cloud Run. Para asegurar que solo las imágenes probadas se desplieguen con una sobrecarga operativa mínima, ¿qué implementaría?

La Autorización Binaria (Binary Authorization) es la solución más efectiva para garantizar que solo las imágenes de contenedor probadas se desplieguen con una sobrecarga operativa mínima. Permite definir políticas que exigen atestaciones (firmas criptográficas) de que una imagen ha pasado por etapas de validación específicas, como pruebas, antes de poder desplegarse en Cloud Run. Esto automatiza la aplicación de la política de seguridad. La opción de desplegar una nueva revisión en Cloud Run con una etiqueta para pruebas es un buen enfoque para pruebas de pre-despliegue, pero no impide el despliegue de imágenes no probadas; solo facilita las pruebas. Crear un clúster de GKE es una solución de despliegue alternativa y más compleja, no una medida de seguridad para imágenes probadas. Configurar la procedencia de la compilación (build provenance) es útil para la trazabilidad de la imagen, pero no aplica políticas de despliegue basadas en el estado de las pruebas como lo hace Binary Authorization.