Professional Cloud Architect（Google Cloud） 問題集

正解: C

正解の理由
ページは、Binary Authorization がイメージを証明するデジタル文書である証明（attestation）を集め、信頼に基づくポリシーを定義・検証・強制して、証明が組織のポリシーを満たすときだけイメージがデプロイされるようにすると書いている。証明が示す内容の例として、Cloud Build でビルドされたことと、指定した深刻度より高い脆弱性を含まないことを挙げ、GKE と Cloud Run で使えるとしている。

違う選択肢
「Cloud Build でビルドの来歴を出力させ、条件に合わないイメージをデプロイの時点で止める」… ページによると、ビルドの来歴（provenance）は、イメージのダイジェスト・入力のソース・ビルドの手順などを記録した検証できるメタデータである。来歴を作ることはビルドの側の働きで、それだけでデプロイの時点にイメージを拒む強制はかからない。
「Artifact Analysis のスキャンを有効にし、条件に合わないイメージをデプロイの時点で止める」… Artifact Analysis は、Artifact Registry の成果物の脆弱性を検出し、SBOM の生成などを行うものとページは説明している。脆弱性を見つける働きで、デプロイの時点に止める強制ではなく、どのパイプラインで作られたかも確かめない。
「GKE のセキュリティ ポスチャーのダッシュボードで、条件に合わないイメージをデプロイの時点で止める」… ページは、GKE のセキュリティ ポスチャーのダッシュボードを、クラスタの設定・ワークロードの構成・脆弱性について実行できる推奨を示すものと説明している。推奨を示す道具で、デプロイを止める強制の仕組みではない。

関連する設定
Binary Authorization の概要ページによると、ポリシーに反するイメージのデプロイは止められ、その理由が Cloud Audit Logs に書き込まれる。証明にはビルドの検証（特定の CI パイプラインでビルドされたこと）と、QA 担当者が手で作る手動の確認がある。デプロイ時には前の段階の作業をやり直さず、証明だけを確かめる。