ソフトウェア サプライ チェーンのセキュリティ

Google Cloud 上でフルマネージドの開発環境を提供する Cloud Workstations を利用して、ソースコードとその開発環境を保護します。Cloud Workstations には、VPC Service Controls、非公開の上り（内向き）と下り（外向き）、イメージの強制更新、IAM アクセス ポリシーなど、セキュリティのベスト プラクティスが組み込まれています。

Artifact Registry　でビルド アーティファクトを保存、保護、管理し、オンデマンドと Container Analysis の自動スキャンによって脆弱性をプロアクティブに検出します。Assured Open Source Software を使用して、アプリケーションのオープンソースの依存関係のセキュリティを強化できます。Assured Open Source Software は、Google がキュレートして OSS パッケージをテストした信頼できるソースへのアクセスと、それを組み込むための信頼できるソースです。  

SLSA レベル 3 のビルドをすぐにサポートでき、VPC Service Controls、SLSA レベルの分析情報、分離されたエフェメラルなビルド環境などのセキュリティ機能を備えた Cloud Build を使用して、マネージド CI にアクセスします。Cloud Build は、Google の CD プラットフォームである Google Cloud Deploy とも連携します。Cloud Build には、きめ細かい IAM コントロールや承認ゲートなどのセキュリティのベスト プラクティスが組み込まれています。  

GKE と Cloud Run を使用して、実行中のアプリケーションのセキュリティを強化します。 GKE には、一元化されたセキュリティ ダッシュボード、自動スキャン、アラートなど、アプリケーションのセキュリティ対策に関する実用的なガイダンスを提供するネイティブのセキュリティ機能が備わっています。Google の安全なサーバーレス プラットフォームである Cloud Run は、実行中のコンテナの SLSA レベルと脆弱性に関する分析情報を提供します。

SDLC 全体で信頼チェーンの確立、検証、維持を行うことで、ソフトウェア サプライ チェーンのセキュリティを強化します。SDLC を通じて収集された証明書に基づいて、Binary Authorization は、最新のアプリケーション開発における規模と速度の要件を満たすために、信頼に基づくポリシーを定義、検証、適用するのに役立ちます。