Audit
감사 기록과 디버그 로그는 목적이 다르다: 주체·행위·대상·결과
감사 로그와 공급망 점검: SBOM·취약점·서명 결과를 release gate로 만든다
판단 주제: SBOM·취약점·서명 결과를 release gate로 만든다. 선택 기준과 확인 신호를 함께 읽습니다.
SBOM
상태 변경 감사 이벤트를 불변 형식으로 기록한다: 포함된 구성요소 목록
Gate
SBOM·취약점·서명 결과를 release gate로 만든다: 정책 위반 release 차단
Audit 판정: 주체·행위·대상·결과. 누가 무엇을 바꾸었는지 구조화해서 남기고 Maven 의존성과 OCI image 출처를 검증합니다.