Zbuduj potok kontenerowy GKE, w którym tylko obrazy zbudowane przez potok mogą być wdrażane, a cały kod/artefakty pozostają w Twoim środowisku, aby zapobiec eksfiltracji danych. Jak należy zbudować ten potok?

Poprawna odpowiedź zapewnia kompleksowe bezpieczeństwo i kontrolę. Prywatna pula robocza Cloud Build gwarantuje, że procesy budowania odbywają się w prywatnej sieci, zapobiegając eksfiltracji danych. VPC Service Controls tworzy perymetr bezpieczeństwa, izolując zasoby CI/CD i chroniąc je przed dostępem z zewnątrz. Binary Authorization wymusza, że do klastra GKE mogą być wdrażane tylko zaufane obrazy, podpisane przez autoryzowane podmioty, co zapobiega wdrażaniu nieautoryzowanych lub złośliwych obrazów. Pozostałe opcje są niekompletne lub mniej bezpieczne: Użycie domyślnej puli roboczej Cloud Build nie zapewnia izolacji sieciowej. Polityka firewalla VPC blokująca cały ruch publiczny jest zbyt restrykcyjna i może zakłócić działanie innych usług. Samo przechowywanie obrazów w Artifact Registry i szyfrowanie ich za pomocą CMEK nie zapobiega wdrażaniu nieautoryzowanych obrazów ani eksfiltracji danych podczas procesu budowania. Użycie domyślnej puli roboczej Cloud Build w połączeniu z Binary Authorization nadal pozostawia lukę w zabezpieczeniach podczas etapu budowania obrazu.