Question#41(Professional Cloud Developer)
ecom-web-app というアプリケーションが、dev、qa、prod（本番）という 3 つの GKE クラスターにデプロイされています。Google 推奨のプラクティスに従い、本番クラスター（ecom-web-app-prod）にのみ、信頼されたコンテナイメージがデプロイされるように制限をかける必要があります。あなたは何をすべきですか？正解：A
GKE で「信頼されたイメージのみをデプロイ可能にする」ための Google Cloud 公式かつ標準的なソリューションは Binary Authorization（バイナリ認証） です。
なぜ A が正解なのか？
デプロイ時の強制力: Binary Authorization は、
kubectl applyや CI/CD パイプラインが Pod を作成しようとする際、そのイメージがポリシー（署名など）を満たしているかをチェックし、満たしていない場合はデプロイそのものをブロックします。クラスター固有のルール: 今回の要件は「
prodクラスターのみ」に制限をかけることです。Binary Authorization のポリシー構成にはclusterAdmissionRulesという項目があり、特定のクラスターごとに異なる承認ルール（特定の署名が必要など）を適用できます。Google 推奨プラクティス: 「信頼されたイメージのみ」という要件に対して、単純なスキャンやタグ付け（C, D）ではなく、暗号署名に基づくデプロイ制御を行うことが最も安全なアプローチとされています。
コメント