ある研究機関の基盤チームは、ビルドのたびに npm や PyPI などの公開リポジトリから直接ライブラリを取り込んでいる。外部の配布元で改ざん事件が報じられ、過去のビルドが何を取り込んだかを後から確認できる記録を残す必要が出てきた。配布元が一時的に止まってもビルドを続けたい。適した構成はどれか。