배포 설정이 `image: app:latest`만 사용해 같은 태그가 다른 이미지로 바뀔 수 있다. 재현성과 공급망 통제를 높이는 방법은?

1. 1

   latest 대신 버전처럼 보이는 태그 문자열을 쓰면 레지스트리에서 재지정할 수 없다고 본다.

2. 2

   이미지를 한 번 내려받은 뒤 캐시만 사용하면 모든 새 배포 노드도 항상 동일 이미지를 사용한다고 본다.

3. 3

   digest 값이 존재하면 누가 만든 이미지인지 검증하지 않아도 승인된 이미지로 신뢰한다.

4. 4

   검증한 이미지 digest로 배포를 고정하고 서명·취약점·출처 정책을 입구에서 확인한다.