【無料ユーザーも使えます】GitLab 18.1の新機能「SLSA Level 1」対応CI/CDコンポーネントを試してみよう

はじめに

GitLabは毎月機能がリリースされる、ものすごいスピードで進化し続けるDevSecOpsプラットフォームです。2025年6月19日にリリースされたGitLab 18.1でも、たくさんの新機能が追加されました。

その中でも今回は、Freeプラン(無料ユーザー)でも使える「SLSA Level 1 準拠のCI/CDコンポーネント」について紹介します。

「SLSAって何?」「サプライチェーンセキュリティって自分には関係ない?」と思う方も多いかもしれませんが、実はこの機能、設定はとてもシンプルで、ソフトウェアの信頼性を高める第一歩として無料ユーザーでも今すぐ試せる内容になっています。ぜひ最後まで読んで、GitLabをもっと使いこなしてみてください。

対象バージョン

GitLab 18.1(2025年6月19日リリース)以降
対応Tier: Free, Premium, Ultimate(つまり無料プランでもOK)
対応Offering: GitLab.com, GitLab Self-Managed, GitLab Dedicated

Free/Premium/Ultimateのすべてのプランで使えるというのが、この機能の大きな特徴です。

SLSAとは何か

SLSA(Supply-chain Levels for Software Artifacts)は、「サルサ」と発音される、ソフトウェアサプライチェーンのセキュリティに関する業界標準のガイドラインです。

ざっくり言うと、

「このソフトウェアはどこで、どうやってビルドされたのか?」
「ビルドの過程で改ざんされていないか?」

を第三者が確認できるようにするための仕組みです。近年、ソフトウェアサプライチェーンを狙った攻撃(ビルド過程への不正なコード混入など)が増えており、その対策としてSLSAへの注目が高まっています。

SLSAにはレベル1〜3があり、レベルが上がるほど要求される保証が厳しくなります。

Level 1: ビルド方法を記述した「provenance(証明情報)」が自動生成されていること
Level 2: Level 1の要件に加え、そのprovenanceがホスト型ビルドプラットフォームによって署名されていること
Level 3: Level 1・2の要件に加え、ビルドプラットフォーム自体の改ざん耐性が強化されていること

GitLab 18.1で追加された機能

GitLab 18.1では、このSLSA Level 1準拠を達成するための新しいCI/CDコンポーネントが追加されました。

このコンポーネントは、GitLab Runnerが生成するSLSA準拠のprovenance(証明メタデータ)に対して、署名・検証を行う機能をSigstore Cosignの機能をラップした、再利用可能なCI/CDコンポーネントとして提供しています。つまり、複雑な設定を書かなくても、既存のCI/CDパイプラインに組み込むだけでSLSA準拠のセキュリティ強化ができるということです。

GitLab Runnerは、ビルドアーティファクトに関する証明メタデータ(provenance)を自動的に生成する仕組みを持っています。今回追加されたCI/CDコンポーネントは、そのRunner生成のprovenanceに対して署名を行い、検証(Verification Summary Attestation, VSA)を生成するための設定を提供するものです。

つまり、「provenanceの生成」自体はRunnerの仕組みとして用意されている一方で、それを署名・検証できる形に仕上げる部分を、今回のCI/CDコンポーネントを組み込むことで簡単に実現できるようになった、というのが今回のアップデートのポイントです。

なぜ無料ユーザーにもおすすめなのか

このSLSA Level 1対応のCI/CDコンポーネントは、Freeプランでも使える点が大きなポイントです。

これまでサプライチェーンセキュリティの強化は「Ultimateプラン専用の高度な機能」というイメージを持っている方も多いかもしれません。しかし今回のコンポーネントはFreeプランのユーザーでも利用可能なので、個人開発やOSSプロジェクトを運用している方でも、今すぐビルドの透明性・信頼性を高める取り組みを始められます。

「自分のプロジェクトのビルドがどう作られているか証明したい」
「OSSのメンテナとして、利用者に安心してもらえる仕組みを整えたい」
「将来的にセキュリティ要件の厳しい企業と仕事をする可能性がある」

こういった方には、ぜひ一度触ってみてほしい機能です。

使ってみるには

GitLabが提供するSLSA CI/CDコンポーネントを、.gitlab-ci.ymlのincludeに追加するだけで利用を開始できます。このコンポーネントは以下を提供します。

Runnerが生成したprovenanceステートメントの署名
ジョブアーティファクトに対するVerification Summary Attestations(VSA)の生成

詳細な設定方法は、SLSAコンポーネントの公式ドキュメントにサンプル構成が掲載されているので、そちらを参照しながら組み込んでみてください。

まとめ

GitLab 18.1で追加された、SLSA Level 1準拠のCI/CDコンポーネントは、

Freeプランでも利用可能
Sigstore Cosignをベースにした、再利用しやすいコンポーネント形式
既存のCI/CDパイプラインへの導入がシンプル

という、無料ユーザーにも取り組みやすいサプライチェーンセキュリティ強化の第一歩です。

GitLabは今回紹介した機能以外にも、Duo Code Reviewの正式リリースや、GraphQL APIの改善など、毎月盛りだくさんの新機能をリリースしています。今回のSLSA対応コンポーネントをきっかけに、ぜひ他の新機能もチェックして、GitLabをもっと使いこなしてみてください。

参考リンク