연결된 아티팩트와 배포 맥락 추적
빌드 아티팩트를 GitHub와 연결해 저장·배포 정보를 추적하고 보안 경보를 생산 환경 기준으로 걸러볼 수 있게 했습니다.
교안에 영향
Linked artifacts 안내와 artifact metadata API 설명이 새 기능 기준으로 달라져 예전 문서의 저장·배포 추적 방식 안내가 맞지 않을 수 있습니다.
요약
- Artifact metadata APIs로 저장 위치와 배포 이력, 런타임 위험 정보를 아티팩트에 연결할 수 있게 했습니다. - organization의 Packages 탭에 Linked artifacts view가 추가되어 연결된 아티팩트, attestations, 저장 위치, 배포 내역을 한곳에서 볼 수 있습니다. - GitHub artifact attestations를 사용하면 아티팩트가 원본 저장소와 빌드 워크플로에 연결되어 SLSA Build Level 3 보안에 도움이 됩니다. - storage 및 deployment records가 있으면 Dependabot alerts, code scanning alerts, security campaigns를 생산 환경 기준으로 필터링할 수 있습니다.
바뀐 것
새 기능
- Artifact metadata APIs가 추가되어 빌드 아티팩트의 저장 위치, 프로모션 이력, 배포 맥락을 연결할 수 있습니다.
- Storage records로 아티팩트의 패키지 레지스트리 위치를 기록할 수 있습니다.
- Deployment records로 아티팩트가 배포된 위치와 인터넷 노출 여부, 민감 데이터 처리 여부 같은 런타임 위험 요인을 기록할 수 있습니다.
- CI/CD 워크플로, 외부 CD 도구, 클라우드 런타임 모니터에서 이 API를 호출할 수 있습니다.
- Microsoft Defender for Cloud와 JFrog Artifactory가 추가 통합을 지원합니다.
- organization의 Packages 탭에 Linked artifacts view가 추가되어 연결된 아티팩트와 attestations, 저장 위치, 배포 내역을 보여줍니다.
- GitHub artifact attestations를 사용하면 각 아티팩트가 원본 저장소와 빌드 워크플로에 암호학적으로 연결됩니다.
- Artifact view에서 build provenance, attested SBOMs, custom attestations를 확인할 수 있습니다.
- 저장 및 배포 기록을 바탕으로 Dependabot alerts, code scanning alerts, security campaigns를 production context 기준으로 필터링할 수 있습니다.
- artifact-registry, artifact-registry-url, has:deployment, runtime-risk 필터가 추가되었습니다.
- attest-build-provenance action이 아티팩트 게시 시 storage records를 자동 생성할 수 있습니다.
- Microsoft Defender for Cloud와 JFrog Artifactory가 GitHub로 records를 직접 보낼 수 있습니다.
- REST API로 어떤 소스의 어떤 아티팩트든 storage records와 deployment records를 업로드할 수 있습니다.