Assured Open Source Software（Assured OSS）を使用すると、Google がセキュリティを確保し、実際に使用しているものと同じ OSS パッケージを独自のデベロッパー ワークフローに取り入れることで、Google がオープンソース ソフトウェア（OSS）に適用しているセキュリティと経験を活用できます。
Assured OSS では次のことができます。
- 信頼できる既知のサプライヤーから OSS パッケージを取得できる。
- SPDX などの業界標準の形式で提供される Assured SBOM で、パッケージの内容について詳しく把握する。
- CycloneDX などの業界標準形式の VEX 情報を使用して、パッケージの脅威とセキュリティについて学習します。
- Google がキュレート済みパッケージを常時スキャンし、新しい脆弱性を検出、修正しているため、セキュリティ リスクを低減できます。
- 改ざん履歴がないことを示す署名入りprovenanceがあるため、使用している OSS の完全性を確実に信頼できます。
- TensorFlow、Pandas、Scikit-learn などの一般的な ML プロジェクトや AI プロジェクトを含む、1,000 以上の最も人気のある Java、Go、Python、JavaScript（NPM）パッケージから選択できます。
オープンソース パッケージは、Google によって安全な方法でビルドされます。これらのパッケージは、ソフトウェア アーティファクトのためのサプライ チェーン レベル（SLSA）レベル 3 の要件を満たしており、検証可能な来歴と SBOM を備えています。
Assured OSS のティア
Assured OSS には、無料枠とプレミアム ティアがあります。プレミアム ティアは、Security Command Center Premium または Security Command Center Enterprise を購入すると利用できます。
無料枠には次のものが含まれます。
- キュレートされたリポジトリ内の Python、Go、Java のオープンソース パッケージ。
- 手動設定の手順。
- Google 管理プロジェクトに作成された、キュレートされたリポジトリ。
- オープンソース パッケージ用のユニバーサル プロキシ エンドポイント。このプロキシを使用すると、パッケージが Google によってビルドされたかどうかにかかわらず、1 つのソースからオープンソース パッケージとそのメタデータをダウンロードできます。
- アマゾン ウェブ サービス（AWS）アカウントへのアクセスのサポート。
プレミアム ティアでは、Assured OSS を Security Command Center Premium または Security Command Center Enterprise と統合できます。次のものが含まれます。
- キュレートされたリポジトリ内の Python、Go、Java、JavaScript（NPM）のオープンソース パッケージ。
- 正規リポジトリ内の JavaScript オープンソース パッケージ。
- Security Command Center Premium または Security Command Center Enterprise の組織レベルの有効化プロセスの一環として自動設定。
- 指定したプロジェクトに作成された、キュレートされたリポジトリ。
- Google によって収集され、署名されたユニバーサル パッケージ メタデータ。このメタデータは、パッケージ ビルド、脆弱性、パッケージの健全性に関する情報を提供します。パッケージの健全性情報は、Google がビルドしたパッケージでのみ利用できます。
- リモート（またはプロキシ）Artifact Registry リポジトリの Google Cloud リージョンとマルチリージョンのサポート。
Security Command Center のサブスクリプション料金の詳細については、Security Command Center の料金をご覧ください。
Assured OSS リポジトリのオプション
Assured OSS パッケージは、Google が管理する Artifact Registry リポジトリに保存されます。Assured OSS が提供するオープンソース パッケージにアクセスしてダウンロードするには、次のいずれかの方法を使用します。
Google が管理する Artifact Registry リポジトリのプロキシとして機能するリモート（ミラーまたはプロキシとも呼ばれます）リポジトリを環境に設定します。デベロッパーはリモート リポジトリに接続してパッケージをダウンロードできます。JFrog Artifactory や Sonatype Nexus などのリポジトリ マネージャーを使用している場合は、この方法を使用します。
サービス アカウントを使用して Artifact Registry リポジトリに直接接続します。デベロッパーが Maven、Gradle、Go、pip などのビルドツールを使用している場合は、この方法を使用します。
デベロッパーがパッケージをダウンロード、インストール、デプロイできるように、デベロッパーの単一のアクセス ポイントとして機能する仮想アップストリーム リポジトリを使用します。
プレミアム ティアでは、Java パッケージ用と Python パッケージ用の 2 つの仮想リポジトリが自動的に作成されます。無料枠では、仮想リポジトリを自分で構成する必要があります。アップストリーム仮想リポジトリとして、Artifact Registry 標準リポジトリまたは Artifact Registry リモート リポジトリを使用できます。Assured OSS タイプのレポジトリを使用することもできます。これは、無料枠とプレミアム ティアの両方のパッケージにアクセスできる仮想リポジトリのラッパーです。Assured OSS タイプのリポジトリは、サーバーサイドのチェックを実行します。
次の図は、リモート リポジトリに接続された Assured OSS を示しています。
ソフトウェア サプライ チェーンのセキュリティ
Assured Open Source Software は、ソフトウェア サプライ チェーンの保護に使用できる Google Cloud コンポーネントの一つです。Assured Open Source Software を他の Google Cloud プロダクトや機能と組み合わせて使用すると、デベロッパーのワークフローやツール、ソフトウェアの依存関係、ソフトウェアのビルドとデプロイに使用される CI/CD システム、Google Kubernetes Engine や Cloud Run などのランタイム環境のセキュリティ ポスチャーを強化できます。詳細については、ソフトウェア サプライ チェーンのセキュリティをご覧ください。
次のステップ
- 無料枠を使用するには、Assured OSS を有効にするをご覧ください。
- Security Command Center Enterprise と統合するには、コード セキュリティのために Assured OSS と統合するをご覧ください。