用途：在 GKE 或 Cloud Run 上实施 Google Cloud Binary Authorization，这是一种部署时安全控制，确保只有通过预定义要求（如漏洞扫描、代码审查或构建流水线验证）的可信容器镜像才能被部署。
主要能力：启用 Binary Authorization 与 Container Analysis API；在 GKE 集群上开启 binauthz；创建 KMS 签名密钥、Container Analysis 说明和证明者；配置默认拒绝策略、按集群规则与准入白名单；为镜像创建签名证明；集成 Cloud Build 在构建后自动证明；启用持续验证（CV）并监控违规日志；支持紧急情况下的 break-glass 覆盖。
使用方式：先启用 binaryauthorization.googleapis.com、containeranalysis.googleapis.com、container.googleapis.com；用 gcloud container clusters update CLUSTER_NAME --enable-binauthz 开启；创建 KMS keyring 与 ec-sign-p256-sha256 签名密钥；通过 curl 创建 Container Analysis note；用 gcloud container binauthz attestors create 创建证明者并添加公钥；编写 binauthz-policy.yaml 并用 gcloud container binauthz policy import 导入；构建后用 gcloud container binauthz attestations sign-and-create 创建证明；用 gcloud container clusters update --enable-binauthz-monitoring 启用 CV。
适用场景：部署或配置 GCP Binary Authorization 能力、建立符合合规要求的安全控制、构建或改进该领域安全架构、开展需要此实施的安全评估。
限制：需具备已启用 Binary Authorization API 的 GCP 项目、GKE 集群或 Cloud Run 服务、Container Analysis API、KMS 密钥及 Cloud Build 或外部 CI/CD 流水线。资料未提供具体收费、价格或平台兼容性细节。