결과뿐 아니라 과정을 기록
완성된 파일만으로 어떤 도구와 주체가 생산 과정에 참여했는지 알기 어려울 수 있다. Witness는 개발 생명주기의 작업에서 증명 자료를 만들어 감사 기록을 구성한다. 소프트웨어가 어떻게 만들어졌고 어떤 도구를 사용했는지 확인할 근거를 남기는 접근이다.
증명과 정책을 함께 사용
자료를 수집하는 기능 외에 자체 정책 엔진과 OPA Rego 지원을 통해 조건을 검증할 수 있다. 각 공급망 단계가 허용된 사용자와 기계에 의해 수행됐는지 같은 기준을 적용하는 흐름이다. 자료 생성과 정책 판정은 서로 관련되지만 같은 작업은 아니다.
실행 환경과 연계
컨테이너 환경과 일반 환경에서 높은 권한 없이 실행하도록 설계됐으며 여러 CI와 클라우드 환경의 연계를 제공한다. Sigstore와 SPIFFE 계열의 키리스 서명, 타임스탬프 기관과의 연결도 지원한다. 실제로 무엇을 증명하고 허용하는지는 수집한 자료와 적용한 정책에 따라 판단해야 한다.