用途：Binary Authorization 是 Google Cloud 的部署时安全控制，确保只有可信容器镜像才能部署到 GKE 或 Cloud Run。镜像必须持有密码学证明，确认其通过了漏洞扫描、代码审查或构建流水线验证等预定义要求。持续验证（CV）会依据策略监控运行中的 Pod 并记录违规。
主要能力：启用所需 API 并在 GKE 集群开启 binauthz；创建 KMS 签名密钥与 Container Analysis note，据此创建 attestor 并绑定公钥；配置默认拒绝策略、白名单与按集群准入规则；对镜像摘要生成证明；集成 Cloud Build 完成构建、推送、扫描与证明；开启 CV 监控并在 Cloud Logging 查询违规；支持 break-glass 紧急绕过。
必要用法：先启用 binaryauthorization、containeranalysis、container 三个 API，再用 gcloud container clusters update CLUSTER_NAME --enable-binauthz --zone us-central1-a 开启。创建 keyring 与 ec-sign-p256-sha256 签名密钥，创建 note 与 attestor，添加 KMS 密钥版本。用 gcloud container binauthz policy import 导入策略。构建成功后取镜像摘要并用 gcloud container binauthz attestations sign-and-create 生成证明。CV 通过 --enable-binauthz-monitoring 开启。
适用场景：在环境中部署或配置该能力、对齐合规要求的安全控制、改进该领域安全架构，以及需要此实施的安全评估。
限制：需 GCP 项目、GKE 集群或 Cloud Run 服务、已启用相关 API、KMS 密钥与 CI/CD 流水线等前置条件；具体费用、配额、区域可用性与官方支持范围暂未提供。