您的 GKE 叢集已啟用 Binary Authorization。Cloud Build 會執行迴歸測試並發布映像檔。您要如何確保只有經過測試的映像檔才能部署？

正確答案是建立證明者 (attestor) 和政策，並在測試後於 Cloud Build 中執行 Kritis Signer 來證明映像檔。Binary Authorization 透過政策和證明者確保只有受信任的映像檔才能部署。Kritis Signer 是一個工具，用於在映像檔通過測試後，為其建立數位證明 (attestation)，證明其符合要求。此證明會由 Binary Authorization 政策在部署時進行驗證。 選項二的 Voucher Server 和 Voucher Client 是另一個用於證明映像檔的工具，但它通常用於更複雜的供應鏈驗證，且在 Google Cloud 中，Kritis Signer 是與 Binary Authorization 整合更緊密的標準做法。選項三的 Pod Security Standard (PSS) 限制了 Pod 的安全功能，但無法確保映像檔本身的來源和完整性。選項四雖然提及建立證明者和政策，但僅說明「建立證明」，未明確指出使用 Kritis Signer 這樣的工具來執行證明，這是不完整的步驟。