Costruisci una pipeline di container GKE in cui solo le immagini create dalla pipeline possono essere distribuite e tutto il codice/gli artefatti rimangono all'interno del tuo ambiente per prevenire l'esfiltrazione dei dati. Come dovresti costruire la pipeline?

L'opzione corretta garantisce la massima sicurezza e prevenzione dell'esfiltrazione dei dati. L'utilizzo di un pool di worker privato in Cloud Build assicura che le build avvengano in un ambiente isolato e controllato. I Controlli di Servizio VPC (VPC Service Controls) creano un perimetro di sicurezza che impedisce l'esfiltrazione dei dati verso servizi non autorizzati. Binary Authorization su GKE impone che solo le immagini approvate (firmate) possano essere distribuite, garantendo l'integrità della supply chain. Le altre opzioni sono meno sicure: L'uso del pool di worker predefinito di Cloud Build non offre lo stesso livello di isolamento. Una policy firewall VPC da sola potrebbe non essere sufficiente per prevenire tutte le forme di esfiltrazione e non garantisce che solo le immagini create dalla pipeline vengano distribuite. La crittografia delle immagini con CMEK in Artifact Registry è una buona pratica per la sicurezza dei dati a riposo, ma non impedisce l'esfiltrazione dei dati durante il processo di build o la distribuzione di immagini non autorizzate. L'uso del pool di worker predefinito e l'archiviazione in Artifact Registry, anche con Binary Authorization, non forniscono lo stesso livello di protezione contro l'esfiltrazione dei dati offerto dai Controlli di Servizio VPC.