Çalışma mantığı
Kaynak sürümü, bağımlılıklar, derleme ortamı ve üretilen çıktı arasında izlenebilir bağ kurulur. RASP işlemi ayrı bir hizmette yapılıyorsa bu adım da teslimat zincirinin parçasıdır. Koruma öncesi ve sonrası dosyaların kimliği karıştırılmamalıdır.
Uygulamada nasıl değerlendirilir?
Bir ekip kaynak derlemesinin özetini kaydeder, koruma hizmetinden dönen paketi ayrı özetler ve mağazaya giden paketin doğrulanmış çıktı olduğunu kontrol eder. İmzalama yetkisi rastgele iş istasyonlarına dağıtılmaz.
Sınırlar ve yaygın hatalar
Provenance belgesi, uygulamanın iş mantığında açık bulunmadığını göstermez. Belgenin kim tarafından üretildiği ve doğrulandığı da güven modeline dahildir.
Kontrol listesi
- Derleme girdilerini kaydedin
- Koruma adımını zincire ekleyin
- Yayınlanan çıktıyı eşleştirin
Karar verirken
Tedarik zinciri kanıtını arşivde duran bir dosya olmaktan çıkarın. Beklenmeyen üretici veya çıktı görüldüğünde yayın hattı anlamlı tepki vermelidir.
Kaynaklar ve kapsam
Teknik özelliklerin başvuru noktaları aşağıdadır. Uygulama örneği ve kontrol listesi bu yayın için hazırlanmış değerlendirme önerileridir; bağımsız ürün testi sonucu değildir.