通过 Assured Open Source Software (Assured OSS)，您可以将 Google 保护和使用的相同 OSS 软件包纳入您自己的开发者工作流中，从而充分利用 Google 应用于开源软件 (OSS) 的安全性和经验。
借助 Assured OSS，您可以执行以下操作：
- 从可信且知名的供应商处获取 OSS 软件包。
- 通过以 SPDX 等业界标准格式提供的 Assured SBOM，详细了解软件包内容。
- 通过 CycloneDX 等业界标准格式的 VEX 信息，了解软件包的威胁和安全性。
- 由于 Google 会主动扫描、查找和修复精选软件包中的新漏洞，因此可降低安全风险。
- 通过有签名的防篡改provenance，提高对您所用 OSS 完整性的信心。
- 从数以千计最受欢迎的 Java、Go、Python 和 JavaScript (NPM) 软件包中进行选择，包括 TensorFlow、Pandas 和 Scikit-learn 等常见的机器学习和人工智能项目。
这些开源软件包由 Google 以安全的方式构建。这些软件包符合软件制品的供应链等级 (SLSA) 3 级要求，并具有可验证的来源和 SBOM。
Assured OSS 层级
Assured OSS 具有免费层级和高级层级。购买 Security Command Center 高级方案或 Security Command Center 企业方案后，即可使用高级层级。
免费层级包括以下内容：
- 精选代码库中的 Python、Go 和 Java 开源软件包。
- 手动设置步骤。
- 在 Google 管理的项目中创建的精选代码库。
- 适用于开源软件包的通用代理端点。借助此代理，您可以从一个来源下载开源软件包及其元数据，无论这些软件包是否由 Google 构建。
- 支持 Amazon Web Services (AWS) 账号访问。
借助高级层级，您可以将 Assured OSS 与 Security Command Center 高级方案或 Security Command Center 企业方案集成。它包含以下内容：
- 精选代码库中的 Python、Go、Java 和 JavaScript (NPM) 开源软件包。
- 规范代码库中的 JavaScript 开源软件包。
- 在 Security Command Center 高级方案或 Security Command Center Enterprise 的组织级激活过程中自动设置。
- 在您指定的项目中创建的精选制品库。
- 由 Google 收集并签名的通用软件包元数据。此元数据提供有关软件包 build、任何漏洞和软件包运行状况的信息。软件包健康状况信息仅适用于由 Google 构建的软件包。
- 支持远程（或代理）Artifact Registry 代码库的Google Cloud 区域和多区域。
如需详细了解 Security Command Center 订阅价格，请参阅 Security Command Center 价格。
Assured OSS 代码库选项
Assured OSS 软件包存储在 Google 管理的 Artifact Registry 代码库中。您可以使用以下方法之一访问和下载 Assured OSS 提供的开源软件包：
在您的环境中设置远程（也称为镜像或代理）代码库，以充当 Google 管理的 Artifact Registry 代码库的代理。您的开发者可以连接到远程仓库以下载软件包。如果您使用的是 JFrog Artifactory 或 Sonatype Nexus 等代码库管理器，请使用此方法。
使用服务账号直接连接到 Artifact Registry 代码库。如果开发者使用的是 Maven、Gradle、Go 或 pip 等构建工具，请使用此方法。
使用虚拟上游制品库作为开发者的单一访问点，以便他们下载、安装或部署软件包。
在高级层级中，系统会自动创建两个虚拟制品库：一个用于 Java 软件包，另一个用于 Python 软件包。在免费层级中，您必须自行配置虚拟制品库。您可以使用 Artifact Registry 标准制品库或 Artifact Registry 远程仓库作为上游虚拟制品库。您还可以使用 Assured OSS 类型代码库，它是虚拟代码库的封装容器，可访问免费层级和高级层级软件包。Assured OSS 类型代码库会执行服务器端检查。
下图显示了 Assured OSS 连接到远程仓库。
软件供应链安全
Assured Open Source Software 是您可以用来保护软件供应链的 Google Cloud 组件之一。您可以将 Assured Open Source Software 与其他 Google Cloud 产品和功能结合使用，以改善开发者工作流和工具、软件依赖项、用于构建和部署软件的 CI/CD 系统以及 Google Kubernetes Engine 和 Cloud Run 等运行时环境的安全状况。如需了解详情，请参阅软件供应链安全。
后续步骤
- 如需使用免费层级，请参阅启用 Assured OSS。
- 如需与 Security Command Center Enterprise 集成，请参阅与 Assured OSS 集成确保代码安全。