コンテナ サプライ チェーンのセキュリティを確保するには、可視性 (スキャン) と適用 (ポリシー) の 2 つが必要です。
Google Cloud は、この問題を解決するために、Artifact Analysis（Artifact Registry と統合）と Binary Authorization を提供しています。
Google Cloud ドキュメント (ソフトウェア サプライ チェーン セキュリティ) によると、次のようになります。
サプライチェーンのセキュリティを確保するには、Artifact Registryと自動脆弱性スキャンを使用してイメージ内のリスクを特定します。次に、Binary Authorizationを使用して、イメージをGKEまたはCloud Runにデプロイする前に、信頼できる機関（認証者）による署名を要求するポリシーを定義します。これにより、セキュリティチェック（脆弱性スキャンなど）に合格したイメージのみが実行できるようになります。仕組み：
* スキャン: イメージが Artifact Registry にプッシュされるたびに、CVE が自動的にスキャンされます。
* 構成証明: スキャンが成功すると (例: 「重大な」脆弱性がない)、イメージに「署名」する (構成証明を作成する) CI/CD ステップがトリガーされます。
* 適用: GKE アドミッションコントローラ（Binary Authorization）はこの署名をチェックします。署名が欠落しているか無効な場合、デプロイはブロックされます。
他のオプションが間違っている理由:
* A は誤りです。コンテナ脅威検出は実行時（実行後）を対象としています。サプライチェーンセキュリティは、展開前の予防を目的としています。
* B は不正解です。Grafeas/Kritis はオープンソースの基盤ですが、オプション D は「管理オーバーヘッドを最小限に抑える」マネージド Google Cloud サービスを表します。
* C は不正解です。ファイアウォールはネットワーク トラフィックを検査しますが、コンテナ イメージ自体の整合性や脆弱性の状態は検査しません。
参照：
Google Cloud ドキュメント：「Binary Authorization の概要」（https://cloud.google.com/binary- authorization/docs/overview）。
Google Cloud ドキュメント:「Artifact Registry の脆弱性スキャン」(https://cloud.google.com)
/artifact-registry/docs/analysis)。

説明/参照:
参考: https://cloud.google.com/storage/docs/access-control/lists

https://cloud.google.com/security-command-center/docs/concepts-security-health-analytics Security Health Analytics は、攻撃を受ける可能性のある一般的な誤った構成がないかクラウド環境をスキャンする Security Command Center のマネージド サービスです。
Security Command Center を有効にすると、Security Health Analytics が自動的に有効になります。