コンテナイメージの署名検証機能（Admission Controller）を自作またはデプロイする際、検証に失敗したPodの作成を拒否するために使用するWebhookの種類はどれか。

KubernetesのSecretリソースは、etcdに保存される際にbase64エンコードされているだけである。これを「保存データ（Data at Rest）」として保護するためのKubernetesネイティブな機能はどれか。