# in-toto ソフトウェアサプライチェーンの来歴(provenance)に基づくデプロイポリシーを実装するための標準の1つとして *Building Secure and Reliable Systems* 第14章が挙げるフレームワーク。同章は「来歴に基づくデプロイポリシー」節で、署名ベースの検証だけに頼らず、各デプロイ環境が要求する性質(ソースの出自・テスト合格・脆弱性スキャンの有無など)を明示的なポリシーとして記述し、ポリシーエンジンが (1) 来歴の真正性検証、(2) 来歴が対象アーティファクトに適用されることの検証、(3) ポリシー規則との照合、という3ステップで評価する枠組みを解説したうえで、in-toto をこの種の枠組みを実装する標準として一文で紹介する。章はそれ以上の実装詳細(具体的なレイアウトファイル形式や署名スキームなど)には立ち入らない。(Source: [[@2020__OReilly__Building Secure and Reliable Systems - Chapter 14 Deploying Code]] §Advanced Mitigation Strategies > Provenance-Based Deployment Policies) ## 関連 - ソース: [[@2020__OReilly__Building Secure and Reliable Systems - Chapter 14 Deploying Code]] - 概念: [[ソフトウェアサプライチェーンセキュリティ]]