검증 결과를 정책으로 연결
소프트웨어를 배포할 때는 서명이 있는지뿐 아니라 정해진 조건을 충족하는지도 확인할 수 있다. Ratify는 아티팩트의 보안 메타데이터를 검증하고 사용자 정책에 맞는 결과물을 허용하는 흐름을 제공한다. 검증 자료를 만드는 도구와 그 자료로 정책 판단을 수행하는 도구의 역할이 나뉜다.
여러 검증 요소의 조합
Ratify의 실행기는 검증기와 참조 자료 저장소, 정책 제공자 같은 구성 요소를 연결한다. 명령행이나 서버로 검증 요청을 받은 뒤 각 요소를 조정해 종합된 결과를 얻는 구조다. 단일 확인 절차에 고정하기보다 플러그인 기반 구성 요소를 조합하는 접근이다.
배포 과정의 의사 결정
종합된 검증 결과는 Kubernetes의 OPA Gatekeeper 같은 입장 제어 과정에서 의사 결정에 사용할 수 있다. 실제로 어떤 아티팩트가 허용되는지는 선택한 검증기와 정책, 제공된 자료에 달려 있다. 정책을 통과했다는 결과가 소프트웨어의 모든 보안 성질을 증명하는 것은 아니므로 적용 기준을 구분해야 한다.
관련 문서
Notation / in-toto / SLSA / Dependency-Track / Trivy