Avec Binary Authorization activé sur GKE, assurez-vous que seules les images conteneurs ayant réussi les tests de régression Cloud Build peuvent être déployées.

La bonne réponse est de créer un attestateur et une politique, puis de générer une attestation pour les images ayant réussi les tests de régression en tant qu'étape de Cloud Build. Binary Authorization utilise des attestations signées numériquement pour vérifier l'approbation du déploiement. En créant une attestation après la réussite des tests de régression dans Cloud Build, vous liez la preuve de réussite des tests à l'image. La politique de Binary Authorization sur GKE peut ensuite être configurée pour exiger cette attestation avant de permettre le déploiement de l'image, garantissant ainsi que seules les images validées sont déployées. Déployer Voucher Server et Client est une solution tierce qui n'est pas la méthode native de Google Cloud pour Binary Authorization. Créer un attestateur et une politique, et exécuter une analyse de vulnérabilité pour produire une attestation est incomplet ; l'analyse de vulnérabilité est une bonne pratique, mais ne prouve pas la réussite des tests de régression. Définir le Pod Security Standard sur Restricted est une mesure de sécurité au niveau du cluster, mais ne garantit pas que seules les images ayant réussi les tests de régression sont déployées ; la signature numérique est une partie du processus, mais la création de l'attestation est la clé pour Binary Authorization.