O Que É um SLSA Level?
Um SLSA level é um patamar no framework Supply-chain Levels for Software Artifacts que classifica as garantias de integridade de um build. Níveis mais altos exigem controles mais fortes, como proveniência gerada por um builder endurecido e isolado, em vez de uma máquina de desenvolvedor. Ele dá às equipes uma régua compartilhada para a maturidade da cadeia de suprimentos.
Por que isso importa
Declarar um SLSA level alvo transforma metas vagas de "proteger o pipeline" em requisitos concretos, como proveniência assinada e uma plataforma de build isolada. Alcançar níveis mais altos geralmente significa tirar os builds dos laptops dos desenvolvedores e colocá-los em runners controlados e efêmeros. Plataformas de runners gerenciados ajudam ao fornecer o ambiente de build isolado e reproduzível que os níveis mais altos exigem.
Aproximadamente o que os níveis adicionam
- Níveis mais baixos: a proveniência existe e está disponível
- Níveis intermediários: a proveniência é assinada e evidencia adulteração
- Níveis mais altos: builds rodam em uma plataforma endurecida e isolada