パッケージは Cloud Build でビルドされます。これには、SLSA への準拠の検証可能な証拠も含まれます。Google は、3 つのパッケージ保証を提供します。レベル 1 は Google が構築と署名をし、レベル 2 は検証済みのソースからビルドされたもので、すべての推移的な依存関係を証明します。レベル 3 はすべての依存関係を推移的に閉鎖し、継続的にスキャンしてファズで行われます。

各パッケージの SBOM には、Cloud Build、 Container Analysis、パッケージの状態、脆弱性の影響データなど、SPDX と VEX 形式のメタデータが拡充されています。

パッケージには OSV データが含まれており、脆弱性がないか定期的にスキャン、分析、ファズテストが行われます。

パッケージとメタデータには、パッケージがどのようにビルドおよびテストされたかを示すエンドツーエンドの来歴が含まれます。

パッケージの署名済みバージョンとそのメタデータが、Google が管理、保護、保護された Artifact Registry から配布される。

新しいパッケージは、お客様に影響するオープンソース プロジェクトに基づいて継続的に追加されています。