GitHub Actions（GH-200） 無料問題 10 / 10 ・ 分野5: 自動化のセキュリティ保護と最適化
GitHubのartifact attestationsをpublicとprivateの各リポジトリで生成する。生成に用いるSigstore側の透明性ログについて正しい組合せはどれか。
- publicには公開の透明性ログがあり、privateには透明性ログがない
- publicには透明性ログがなく、privateには公開の透明性ログがある
- publicにもprivateにも、インターネットで読める透明性ログがある
- publicにもprivateにも、インターネットで読める透明性ログはない
正解と解説を見る
正解: A
正解の理由
publicリポジトリではSigstore Public Good Instanceを使い、生成したbundleはGitHubへの保存に加えて公開の透明性ログにも記録される。privateリポジトリが使うGitHubのSigstoreインスタンスには透明性ログがない。
違う選択肢
「publicにもprivateにも、インターネットで読める透明性ログがある」…private向けのGitHub Sigstoreインスタンスには透明性ログがない。
「publicには透明性ログがなく、privateには公開の透明性ログがある」…公開リポジトリと非公開リポジトリの対応が逆になっている。
「publicにもprivateにも、インターネットで読める透明性ログはない」…publicはSigstore Public Good Instanceを使い、公開で読める不変の透明性ログへ記録される。
押さえどころ
非公開リポジトリのattestationを、公開の透明性ログで検索できる前提にしない。Sigstoreを使うという共通点だけで、どちらの生成基盤も同じ公開性を持つと解釈しない。