IBM 正在与 Google 等科技巨头合作，推出一个名为 Grafeas 的新项目。计划提供可用于管理和保护软件供应链的元数据中心。
得益于各种“容器”(Containers)和“微服务”(MicroServices)，我们构建软件的方式正在迅速发生改变。与此同时，新的模式也带来了新的问题。作为一名开发人员，你或许仍然想知道是谁构建了一个给定的“容器”，并且其中到底运行着什么。为了解决这个问题，Google、JForg、Red
Hat、IBM、Black Duck、Twistlock、Aqua Security 和 CoreOS
于今日联手宣布了开源的“Grafeas”。 Grafeas 用于收集和汇总特定的元数据，开发者可用来保护其软件。项目的目标是在即使由微服务器和容器带来的“软件供应链”缩短的情况下，仍能帮助开发者保持其项目的安全标准。 作为一个新设立的联合开源项目，Grafeas 为用户提供了一个标准化的方式，便于其审核和管理他们的软件供应链。
本质上来说，Grafeas 定义了一个围绕代码部署和管道构建、收集所有元数据的应用程序接口(API)。这意味着要保持作者身份和代码记录、每段代码的部署、标记代码是否通过了安全扫描、使用了哪些组件（是否有漏洞）、以及 Q&A 等内容。
此外，Google 还推出了另一个名叫“Krits”的新项目，它允许开发者根据 Grafeas 元数据创建 Kubernetes 治理策略。企业可在部署 Kubernetes 期间执行某些容器的属性。 Grafeas 产品及其 Kritis 组件将作为通用的元数据存储，并与内部部署，云端和混合环境配合使用。这也为开发者提供了一种简单的方法来添加新的元数据源或生成器。 各合作伙伴都将诚意摆到了台面上，但 JFrog 需要在 Xray API 中部署其系统，Red Hat 会在自家容器平台 OpenShift 中增强其安全性和自动化功能，而 CoreOS 将整合 Tectonic Kubernetes 平台。 |
