14장 검증된 artifact만 배포하는 gate를 만든다

pipeline 마지막에 report를 만들고 사람이 보지 않으면 경고는 쌓이기만 한다. 배포 controller 앞에서 machine-readable policy로 결정한다.

deny if digest is mutable or absent
deny if provenance repository is not approved
deny if build ref is not protected main or release tag
deny if critical runtime vulnerability has no valid exception
review if license is unknown
allow only when SBOM and attestation match the same digest

처음부터 production을 block하면 false positive 때문에 policy가 제거될 수 있다. 1단계 observe, 2단계 warning과 owner 배정, 3단계 신규 service block, 4단계 전체 enforce로 간다. emergency bypass에는 2인 승인, 짧은 TTL, 사후 review가 필요하다.