共有VPC環境で、サービスプロジェクト内のGKEクラスタがホストプロジェクトの共有サブネットを使用する場合、ファイアウォールルールはどこで管理すべきか。

GKEのBinary Authorizationを使用して、信頼されたコンテナイメージのみがデプロイされるように強制したい。この検証プロセスで重要な役割を果たすものはどれか。