Provenance Attestation Step とは何か
provenance attestation step は、artifact の出所、すなわちソースコミット、builder、build パラメーターを記述した署名済みの声明を生成する pipeline のステージです。この記録は artifact に紐づけられ、消費者は後でそれが主張どおりにビルドされたことを確認できます。これは build プロセスそのものを検証可能な証拠に変えます。
なぜ重要か
provenance により、downstream のシステムは期待された pipeline でビルドされていない artifact を拒否できます。これは supply chain の改ざんに対する中心的な防御です。
関連ガイド
What Is Signed Provenance?Signed provenance is a cryptographically signed record of how an artifact was built, so consumers can verify…
What Is Attestation Verification?Attestation verification is the step where a consumer checks a signed attestation against policy before trust…
What Is SLSA Level 3?SLSA level 3 is a supply-chain assurance tier requiring builds to run on a hardened platform that produces si…