ソフトウェアサプライチェーン（コードがビルドされてデプロイされるまでの経路）を守る3つ。
| 名前 | 概要 | 何のため |
|---|---|---|
| SLSA | ビルドの信頼度を L0〜L3 で示す基準。ツールではない | 「本当にこのソースから CI で作られたか」を確かめられるようにする |
| Sigstore | 署名・検証の OSS ツール群（Cosign など） | 「誰が作り、途中で変わっていないか」を確かめる。使い捨ての鍵なので鍵管理が要らない |
| Binary Authorization | 条件を満たすイメージだけ GKE / Cloud Run にデプロイさせる Google Cloud のサービス | 署名があってもデプロイ時に確認しないと意味がない。その最後の関所 |
たとえ: SLSA = 工場の衛生基準、Sigstore = 産地証明のシール、Binary Authorization = 店の入口での検品。
参考: