GKE 클러스터에서 Binary Authorization이 활성화되어 있습니다. Cloud Build는 회귀 테스트를 실행하고 이미지를 게시합니다. 테스트된 이미지만 배포되도록 하려면 어떻게 해야 합니까?

Binary Authorization은 배포 시 컨테이너 이미지의 무결성을 보장합니다. 이를 위해 attestor와 정책을 생성해야 합니다. attestor는 이미지가 신뢰할 수 있는 엔티티에 의해 승인되었음을 증명하는 역할을 합니다. Cloud Build에서 테스트가 완료된 후, Kritis Signer를 사용하여 테스트된 이미지에 대한 attestation을 생성하면 해당 이미지가 정책에 따라 승인됩니다. 이렇게 하면 GKE 클러스터는 attest된 이미지만 배포하도록 강제하여 보안을 강화합니다. 다른 옵션들은 다음과 같은 이유로 올바르지 않습니다. Voucher Server와 Voucher Client는 Binary Authorization의 일부가 아니며, 주로 Supply Chain Security를 위한 다른 도구입니다. Pod Security Standard는 런타임 보안을 위한 것이며, 배포 시 이미지 승인과는 직접적인 관련이 없습니다. 또한, 이미지를 디지털 서명하는 것만으로는 Binary Authorization 정책을 만족시키지 못합니다. attestor와 정책을 생성하는 것은 맞지만, 단순히 attestation을 생성하는 것만으로는 충분하지 않습니다. Kritis Signer와 같은 도구를 사용하여 attestation을 이미지에 연결해야 합니다.