GKE kümelerinizde Binary Authorization etkinleştirilmiştir. Cloud Build regresyon testlerini çalıştırır ve imajları yayınlar. Yalnızca test edilmiş imajların dağıtılmasını nasıl sağlarsınız?

Doğru cevap, Binary Authorization'ın temel işleyişini ve Cloud Build ile entegrasyonunu en iyi şekilde açıklar. Bir attestor (onaylayıcı), bir imajın dağıtılmasına izin verilmeden önce karşılaması gereken koşulları tanımlar. Bir ilke (policy) ise hangi attestorların belirli imajlar için geçerli olduğunu belirtir. Testler başarıyla tamamlandıktan sonra, Cloud Build'de Kritis Signer'ı çalıştırmak, imajın attestor tarafından onaylanmasını sağlar. Bu onay, Binary Authorization ilkesi tarafından kontrol edilir ve yalnızca onaylanmış imajların GKE'ye dağıtılmasına izin verir. Diğer seçenekler neden yanlış: Voucher Server ve Voucher Client, Binary Authorization'ın yerel bileşenleri değildir ve bu senaryo için uygun bir çözüm sunmaz. Pod Security Standard'ı Restricted olarak ayarlamak, pod'ların güvenlik özelliklerini kısıtlar ancak imajların test edilip onaylanmasını doğrudan sağlamaz. Dijital imzalama tek başına yeterli değildir; Binary Authorization, bu imzaların doğrulanması için attestor ve politika mekanizmasına ihtiyaç duyar. Bir attestor ve bir ilke oluşturmak doğru olsa da, "test edilmiş imajlar için bir Cloud Build adımı olarak bir attestation oluşturmak" ifadesi eksiktir. Attestation'ın kendisi bir onaylama işlemidir ve bu onaylamayı gerçekleştirecek bir mekanizma (Kritis Signer gibi) gereklidir.