В ваших кластерах GKE включена Binary Authorization. Cloud Build запускает регрессионные тесты и публикует образы. Как убедиться, что могут быть развернуты только протестированные образы?

Правильный ответ — создание аттестатора и политики, а затем запуск Kritis Signer в Cloud Build для аттестации образа. Binary Authorization в GKE использует аттестаторы для проверки того, что образы соответствуют определенным требованиям перед развертыванием. Kritis Signer — это инструмент, который автоматизирует процесс создания аттестаций для образов после успешного прохождения тестов, гарантируя, что только проверенные образы могут быть развернуты. Вариант с Voucher Server и Client не подходит, так как Voucher — это отдельный инструмент для проверки цепочки поставок ПО, не интегрированный напрямую с Binary Authorization в GKE для этой цели. Установка Pod Security Standard в Restricted не решает проблему проверки образов, а лишь ограничивает возможности подов. Создание аттестации как шага Cloud Build без использования Kritis Signer требует ручного управления ключами и подписями, что менее эффективно и безопасно.