コンテナイメージの署名を検証し、信頼できるイメージのみがデプロイされることを保証する仕組みはどれか。

コンテナ内のプロセスがroot権限を持っていたとしても、システム全体への影響を最小限に抑えるために、不要な権限を削除する機能はどれか。