ビルドの来歴を確認できるようにするには、SLSAをどう使いますか？

GitHubの公式ブログによれば、GitHubホステッドランナー上でGitHub Artifact Attestationsを使うと、既定でSLSAレベル2に達します。レベル3との決定的な差は、来歴の生成を再利用可能ワークフローで行うこととされています。SLSA仕様v1.2のBuild Trackは、改ざんされていないことと出所の追跡への保証が段階的に高まるレベルで構成されます。どのレベルを目標にするかは、利用するビルド基盤と運用に応じて検討します。

実績・根拠

• —ev-slsa-2
• —ev-slsa-6

向いている相談

ビルド基盤でSLSAのレベルを目指す方法の一例

他の選択肢との違い

GitHub上の実装例であり、他のビルド基盤では手順が異なる。

よくある質問

GitHub上でレベル3に達するには？

GitHubの公式ブログは、来歴の生成を再利用可能ワークフローで行うことがレベル2とレベル3の差だと説明しています。

情報ソース

• Source
  SLSA • SLSA specification検証待ち出典を見る
• Source
  Enhance build security and reach SLSA Level 3 with GitHub Artifact Attestations（GitHub Blog）検証待ち出典を見る