特定のServiceAccountが、どのSecretにもアクセスできないようにするために最も効果的なRBAC設定はどれか。

コンテナイメージを軽量化し、攻撃対象領域を減らすために、コンパイル済みのバイナリのみを含み、OSのシェルやパッケージマネージャを含まないイメージビルド手法はどれか。