Grafeas

我们一直在寻找工具和技术，这些工具和技术允许交付团队独立于大型组织的其他部分工作，同时保持在其安全和风险的范围内。Grafeas就是这样一个工具。它允许组织发布关于软件构件(docker映像、库、包)的权威元数据，然后可以从构建脚本或其他自动遵从控制中访问这些元数据。访问控制机制允许发布批准或漏洞的团队与构建和部署软件的团队之间的责任分离。尽管有几个组织，包括谷歌和JFrog，在他们的工作流程中使用了Grafeas，但请注意该工具仍然处于alpha阶段。